[방어] 분석 — CVE-2026-31446

• 심각도 high · CVSS 7.8 · EPSS 0.00135 · 악용난이도 hard

• 로컬 프로세스가 umount(2) 를 호출해 ext4 파일시스템을 언마운트하면서, 동시에 /proc/fs/ext4/<dev>/mb_groups 를 읽어 오류 작업이 큐에 삽입되도록 레이스를 발생시킵니다.
• update_super_work() 가 ext4_notify_error_sysfs() → sysfs_notify() 를 수행할 때 이미 kobject_del() 로 해제된 kobject 의 kernfs_node 에 접근해 use‑after‑free 가 발생합니다.
• UAF가 트리거되면 커널 메모리를 손상시켜 임의 코드 실행·루트 권한 획득이 가능합니다(Privilege Escalation).

악용 가능성: 이 취약점은 AV:L(로컬 접근)과 PR:N(특권 없이) 조건을 만족하면 공격이 가능하지만, 실제 악용에는 UI:R(사용자 상호작용)이 필수이며, 공격자는 대상 시스템에 직접 로그인한 뒤 파일시스템 마운트를 해제(unmount)하고 /proc/fs/ext4/<dev>/mb_groups 를 읽어야 합니다.
복잡도는 AC:L(낮음)으로, 필요한 전제조건이 로컬 쉘 접근과 umount 명령 실행 정도이므로 기술적인 장벽은 낮지만, 정상적인 마운트 해제 흐름을 강제로 유발해야 하는 점에서 실전에서는 다소 까다롭습니다.
EPSS = 0.00135 라는 매우 낮은 확률은 과거에 보고된 실제 공격 사례가 거의 없으며, KEV(Known Exploited Vulnerabilities) 데이터베이스에도 등재되지 않아 현재까지 활발히 악용되고 있지는 않음을 의미합니다.
공격 표면은 ext4 파일시스템의 sysfs 인터페이스와 /proc/fs/ext4/*/mb_groups 읽기 경로에 국한되며, 이 경로는 루트가 아니더라도 일반 사용자에게 노출되어 있어 로컬 프로세스가 해당 엔드포인트를 호출할 수 있습니다.
따라서 공격자는 “마운트된 ext4 파일시스템을 언마운트하고 동시에 /proc/fs/ext4/.../mb_groups 를 읽는” 순서를 정확히 재현해야 하며, 이는 시스템 운영 중에만 발생 가능한 제한된 상황이므로 전반적인 난이도는 hard 으로 평가됩니다.
실제 위협은 로컬 권한을 가진 사용자가 파일시스템 관리 작업을 수행할 수 있는 환경에서만 현실화될 가능성이 높으며, 외부 원격 공격자는 이 경로에 직접 접근할 수 없습니다.

• 성공 시 공격자는 커널 레벨에서 코드를 실행해 시스템 전체를 장악하고, 파일·프로세스에 대한 전권을 얻으며 서비스 거부(DoS)나 백도어 설치가 가능해집니다.
• 영향을 받는 커널 버전: 5.10.114‑5.11, 5.15.38‑5.15.203, 5.17.6‑5.18, 5.18.1‑6.1.168, 6.2‑6.6.131, 6.7‑6.12.80, 6.13‑6.18.21, 6.19‑6.19.11 에 포함된 ext4 파일시스템 전반에 적용됩니다.

• 동일한 sysfs_notify 경로를 이용한 다른 파일시스템(UDF, XFS 등)의 UAF 사례와 연계될 수 있습니다.
• 커널 메모리 손상(CWE‑416) 후 ROP/코드 인젝션 체인과 결합하면 원격 코드 실행까지 확장 가능성이 존재합니다(다른 CVE와 조합 시).

• 커널 로그: dmesg 혹은 /var/log/kern.log에 "BUG: use after free" 와 함께 ext4_update_super_work 또는 sysfs_notify 문자열이 포함된 Oops 메시지가 기록됩니다.

• auditd 규칙 (예시)

  text복사

   1 

🛡️ 완화 방안

• CAP_SYS_ADMIN 제한 – 컨테이너·서비스 계정에 대해 capsh --drop=cap_sys_admin 혹은 systemd 서비스 파일에 CapabilityBoundingSet=을 설정해 umount 권한을 제거합니다.
  난이도: 중간 – 각 서비스별 정책 수정 필요.
  운영 영향: 루트가 아닌 프로세스는 파일시스템 마운트·언마운트를 수행할 수 없으며, 기존 워크로드에 영향을 줄 가능성이 낮음.
  검증: capsh --print 로 해당 CAP이 제거됐는지 확인하고, 비루트 계정에서 umount /dev/... 시도해 권한 거부를 확인합니다.

• auditd + SELinux/AppArmor 정책 강화 – auditctl -a always,exit -F arch=b64 -S umount2 -F auid>=1000 -k ext4_umount 로 감시하고, SELinux 규칙(type=unmount) 혹은 AppArmor 프로파일에 deny umount 를 추가합니다.
  난이도: 중간 – 정책 작성·배포 필요.
  운영 영향: 정상적인 루트 작업만 허용되므로 관리자는 별도 예외 규칙을 적용해야 함.
  검증: ausearch -k ext4_umount 로 이벤트가 기록되는지 확인하고, SELinux 로그에 avc: denied { umount } 가 남는지 점검합니다.

• 커널 주소 유출 방지 – /proc/sys/kernel/kptr_restrict=2 로 설정해 커널 포인터 노출을 억제합니다.
  난이도: 낮음 – sysctl -w kernel.kptr_restrict=2 로 즉시 적용.
  운영 영향: 디버깅·트레이스 도구가 커널 주소를 확인하지 못하지만, 서비스 가용성에 직접적인 영향은 없습니다.
  검증: cat /proc/kallsyms 로 주소가 마스크되는지 확인합니다.

⚖️ 위험도 / 우선순위

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00135 · exploit=hard · in_scope=None