[분석가] 분석 — CVE-2026-31737

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 원리: ftgmac100_alloc_rings() 함수가 메모리 할당 단계(rx_skbs $\rightarrow$ tx_skbs $\rightarrow$ rxdes $\rightarrow$ txdes $\rightarrow$ rx_scratch) 중 중간에 실패할 경우, 이미 할당된 이전 자원들을 해제하지 않고 즉시 -ENOMEM을 반환하는 Resource Leak 취약점입니다.
• 경로: 로컬 권한(PR:L)을 가진 사용자가 ioctl이나 netlink 호출 등을 통해 네트워크 인터페이스 오픈/클로즈를 반복하며 의도적으로 메모리 할당 실패 상황을 유도합니다.
• 단계: [로컬 접근] $\rightarrow$ [네트워크 장치 제어 요청] $\rightarrow$ [할당 실패 유도 및 자원 누적] $\rightarrow$ [커널 메모리 고갈].

악용 가능성: 본 취약점은 Linux kernel의 ftgmac100 드라이버 내 메모리 할당 실패 시 자원 해제가 누락되는 Resource Leak 결함으로, 공격 난이도는 Hard로 판단됩니다. CVSS 벡터상 $\text{AV:L}$ 및 $\text{PR:L}$ 조건에 따라, 공격자는 대상 시스템에 이미 낮은 권한의 계정으로 접근하여 커널 인터페이스를 제어할 수 있는 로컬 환경을 전제로 합니다. 공격 표면은 네트워크 인터페이스 활성화 과정에서 호출되는 ftgmac100_alloc_rings() 함수이며, 특정 시점에 메모리 할당 실패($\text{-ENOMEM}$)를 유도하여 커널 메모리를 고갈시키는 방식으로 트리거됩니다. 다만 $\text{EPSS}$ 수치가 $0.00129$로 매우 낮고 $\text{KEV}$에 등재되지 않은 점은, 이론적인 취약점에도 불구하고 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 따라서 본 취약점의 악용 가능성은 낮으나, 로컬 권한을 가진 공격자가 시스템 가용성을 저해하기 위해 시도할 수 있는 잠재적 위험을 내포하고 있습니다.

• 기술적 위험: 최종 결과는 A:H(High Availability impact)입니다. 커널 메모리가 점진적으로 고갈되어 OOM(Out of Memory) 상황이 발생하며, 이는 시스템 응답 불능 또는 커널 패닉으로 이어져 서비스가 완전히 중단될 수 있습니다. 추정: OOM 상태에서 보안 핵심 프로세스가 강제 종료될 경우, 이를 틈탄 권한 상승이나 컨테이너 탈출의 징검다리로 이용될 가능성이 존재합니다.
• 비즈니스 리스크: Linux Kernel 4.12부터 6.19까지 매우 광범위한 버전이 영향권에 있어, 해당 드라이버를 사용하는 임베디드 장비나 특정 NIC 기반 서버의 가용성 상실 및 비즈니스 연속성 저해 위험이 있습니다.
• 노출 규모: 다중 소스 데이터 교차검증을 통해 8개 이상의 커널 버전 그룹에서 일관되게 취약점이 확인되어 잠재적 노출 범위는 매우 넓으나, 실제 하드웨어 의존성이 높고 로컬 권한이 필요하여 실질적 위협은 제한적입니다.

• 패턴: 커널 내 자원 할당 시 해제 경로(Unwind path) 누락으로 인한 전형적인 메모리 누수 패턴입니다.
• 체이닝: 단독으로는 DoS에 그치지만, 추정: 힙 스프레이(Heap Spraying)를 통해 특정 메모리 레이아웃을 조작하거나 커널 구조체 변조를 유도하는 권한 상승 체인의 보조 수단으로 활용될 가능성이 있습니다.

• 로그 분석: dmesg 및 시스템 로그에서 ftgmac100 관련 -ENOMEM 에러 발생 빈도가 단시간에 급증하거나, OOM Killer가 작동하여 프로세스를 강제 종료하는 패턴을 감시합니다.
• 리소스 모니터링: 특정 네트워크 인터페이스 조작 시점에 커널 슬랩(Slab) 메모리 사용량이 비정상적으로 증가하는지 확인합니다.

• 근본 해결: Staged local unwind labels가 적용되어 자원 해제 경로가 수정된 최신 Linux 커널 버전으로 업데이트합니다.
• 즉시 조치:
  1. 해당 드라이버를 사용하지 않는 환경이라면 modprobe -r ftgmac100 또는 블랙리스트 설정을 통해 모듈 로드를 차단하여 공격 표면을 완전히 제거합니다.
  2. SELinux/AppArmor 프로파일을 적용하여 일반 사용자의 네트워크 장치 제어 권한을 제한합니다.
• 우선순위 근거: CVSS 5.5 및 실측 EPSS 0.00129(매우 낮음), KEV 미등재, exploit=hard 등급이라는 규칙 기반 판단에 따라 'monitor' 수준으로 대응하되, 가용성 핵심 시스템은 즉시 모듈 비활성화를 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None