[단독분석] 분석 — CVE-2026-23095

• 심각도 high · CVSS 7.5 · EPSS 0.00239 · 악용난이도 moderate

공격자는 UDP 포트에 GUE( Generic UDP Encapsulation) 패킷을 전송하고, 그 내부 IP 프로토콜 필드를 0 으로 설정합니다.
gue_udp_recv() 가 -guehdr->proto_ctype 를 반환하면서 ip_protocol_deliver_rcu() 로 전달되지만, 프로토콜 번호가 0 인 경우 메모리 해제가 이루어지지 않아 skb 구조체가 누수됩니다. 이 과정을 반복하면 커널 슬랩 할당 영역이 고갈되어 서비스 거부(DoS) 상황이 발생합니다. 인증이나 권한 상승 없이 네트워크만 접근 가능하므로 원격에서 손쉽게 촉발될 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 원격에서 네트워크만으로도 복잡도가 낮고 권한·사용자 상호작용 없이 공격이 가능함을 의미합니다. 실제로는 GUE( Generic UDP Encapsulation) 패킷의 내부 프로토콜 번호를 0으로 설정해 전송하면, gue_udp_recv()‑ip_protocol_deliver_rcu() 흐름에서 메모리 누수가 발생하도록 트리거됩니다. 공격 표면은 Linux 커널이 GUE 패킷을 수신하는 모든 네트워크 인터페이스이며, 노출되는 파라미터는 UDP 포트와 내부 IP protocol 필드뿐입니다. EPSS=0.00239(≈0.24 %)이라는 실측값은 현재 관찰된 악용 가능성이 낮지만 존재함을 보여주며, KEV에 등재되지 않은 점은 아직 공개적인 익스플로잇이 확인되지 않았음을 의미합니다. 따라서 이 취약점은 “moderate” 등급으로 평가되며, 공격자는 GUE를 사용하는 서비스가 배포된 시스템에 대해 특별히 조작된 UDP 패킷만 전송하면 충분히 악용할 수 있습니다. 실제 위험성은 GUE 사용 여부와 해당 인터페이스의 외부 노출 정도에 따라 크게 달라집니다.

• 기술적 위험: 누수된 skb 객체가 지속적으로 쌓여 커널 메모리(kmemleak) 사용량이 급증하고, 최종적으로 OOM(Kernel Out‑Of‑Memory) 혹은 패닉(panic)으로 시스템 가용성이 중단됩니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H 에서 알 수 있듯 가용성(Availability) 만 영향을 받으며, 기밀성·무결성 침해는 없습니다.
• 비즈니스 리스크: 서비스 중단으로 인한 SLA 위반, 고객 신뢰도 저하 및 운영 비용 증가가 발생할 수 있습니다. 특히 고가용성을 요구하는 클라우드·통신·금융 환경에서는 재시작이나 패치 적용이 어려운 경우 가동 중지 시간이 큰 손실로 이어집니다.
• 노출 규모: 영향을 받는 제품은 Linux 커널 3.18‑6.18.8 버전대 전반(8개 이상)이며, 다중 소스에서 일관성이 확인됐습니다([교차검증]). 따라서 대부분의 리눅스 기반 서버·컨테이너에 광범위하게 적용됩니다.
• 악용 가능성: EPSS = 0.00239(백분위 0.15071) 로 실제 악용 관측은 낮지만, 네트워크 접근만으로 원격 DoS를 구현할 수 있어 위험도는 “moderate” 수준으로 평가됩니다([실측 악용예측]).
• 우선순위 판단: CVSS 7.5(High), 비 KEV·중간 EPSS, 그리고 현재 ‘scheduled (이번 주 내)’ 로 지정된 점을 종합해 즉시 대응이 필요함을 확인했습니다([우선순위 결정]).

유사한 skb 메모리 누수 패턴은 과거 CVE-2021‑XXXX 등에서 보고되었으며, 다른 커널 DoS(예: netfilter‑related)와 결합하면 공격자가 보다 빠르게 메모리를 고갈시킬 수 있습니다. 현재 알려진 직접적인 체이닝 사례는 없으나, 메모리 부족 상태를 이용한 권한 상승·루트킷 설치 등 후속 공격에 활용될 가능성을 염두에 두어야 합니다.

• 커널 로그(dmesg, /var/log/kern.log)에서 BUG: memory leak 혹은 “unreferenced object … size …” 와 같은 메시지가 반복적으로 나타나는지 모니터링합니다.
• kmemleak 서브시스템이 활성화돼 있다면 /sys/kernel/debug/kmemleak 를 주기적으로 확인해 누수된 skb 객체를 탐지합니다.
• 네트워크 IDS/IPS에서 UDP GUE 패킷의 내부 프로토콜 필드가 0 인 경우를 서명으로 설정하여 차단 여부와 발생 빈도를 기록합니다(예: udp && payload[...]=0x00).
• 슬랩 할당자(slabinfo)에 대한 비정상적인 증가 추세를 수집·경보하는 메트릭을 추가합니다.

1. 패치 적용 – 배포된 커널 업데이트(해당 버전대) 를 즉시 설치하고, 재부팅 후 uname -r 로 적용 여부를 확인합니다.
2. 네트워크 차단 – nftables 혹은 iptables 로 GUE 포트(보통 6080 등)에서 내부 프로토콜이 0 인 패킷을 드롭합니다. 예시:
   text복사

    1nft add rule inet filter input udp dport <GUE_PORT> @ inner_proto 0 drop

3. 임시 완화 – 커널 파라미터 net.core.somaxconn 등으로 전체 연결 수를 제한하고, 메모리 압박이 감지될 경우 자동 재부팅 스크립트를 운영합니다.
4. 모니터링 강화 – 위 탐지 항목을 SIEM에 연동해 실시간 경보 체계를 구축하고, 메모리 사용량 임계치 초과 시 즉시 대응 절차를 실행합니다.

위 조치를 순차적으로 수행하면 현재 보고된 메모리 누수 취약점으로 인한 서비스 중단 위험을 최소화할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00239 · exploit=moderate · in_scope=None