[분석가] 분석 — CVE-2025-37945

• 심각도 medium · CVSS 5.5 · EPSS 0.00165 · 악용난이도 hard

(1) 트리거 조건: MAC managed PM(Power Management)을 지원하지 않는 특정 DSA(Distributed Switch Architecture) 드라이버 환경에서 MDIO bus PM ops가 실행될 때, PHY 상태 머신이 부적절한 상태(PHY_HALTED, PHY_READY, PHY_UP 이외의 상태)인 채로 mdio_bus_phy_resume()이 호출되어 WARN_ON 매크로를 트리거하는 결함입니다.
(2) 공격 단계:

• 정찰/초기접근: 로컬 시스템에 대한 낮은 권한(PR:L)의 접근 권한 확보가 전제됩니다.
• 실행: 전원 관리 상태 전환(Suspend $\rightarrow$ Resume)을 유도하는 시스템 호출 또는 하드웨어 이벤트 발생시킵니다.
• 영향: 커널 내 WARN_ON 발생으로 인한 커널 패닉 또는 시스템 불안정성 유발.
  (3) 공격 표면: Linux Kernel의 PHY/MDIO 버스 드라이버 및 전원 관리 인터페이스.
  (4) CVSS 벡터 연결:
• AV:L: 로컬 접근이 필요하므로 네트워크를 통한 원격 공격은 불가능합니다.
• AC:L: 트리거 조건 충족 시 복잡한 조작 없이 발생 가능합니다.
• PR:L: 낮은 수준의 권한만으로도 전원 관리 관련 동작을 유발할 수 있는 환경이어야 합니다.
• UI:N: 사용자 상호작용이 필요하지 않습니다.

악용 가능성: 본 취약점은 Linux kernel의 DSA(Distributed Switch Architecture) 드라이버 내 MDIO 버스 전원 관리(PM) 상태 머신 제어 로직 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 이미 낮은 권한의 계정으로 접근하여 로컬 환경에서 실행 권한을 확보해야 하는 전제조건이 필요합니다. 공격 표면은 네트워크 PHY(Physical Layer) 장치를 제어하는 MDIO 버스와 phylink 인터페이스로 제한되며, 특정 DSA 드라이버 유형(Type 2)의 전원 관리 상태 전환 과정이 트리거 조건이 됩니다. EPSS 수치가 0.00165로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서의 실질적인 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실제 공격 가능성이 현저히 낮음을 의미합니다. 결과적으로 로컬 권한을 가진 공격자가 커널의 네트워크 서브시스템 상태 머신을 정밀하게 조작해야 하므로, 일반적인 원격 공격 경로를 통한 악용 가능성은 매우 희박합니다.

(1) 기술적 위험: 커널 내 경고(WARN_ON) 발생 및 이에 따른 시스템 크래시 또는 서비스 거부(DoS) 상태가 될 가능성이 큽니다. 데이터 유출이나 권한 상승의 직접적인 근거는 확인되지 않았습니다.
(2) 비즈니스 영향: 해당 커널 버전을 사용하는 네트워크 스위치, 임베디드 장비의 가용성 저하 및 예기치 않은 재부팅으로 인한 서비스 중단 위험이 있습니다.

추정: 본 취약점은 단독으로 시스템 가용성을 해치는 DoS 유형에 해당하며, 다른 권한 상승 취약점과 체이닝될 경우 커널 패닉을 유도하여 보안 솔루션을 무력화하거나 특정 상태에서 레이스 컨디션을 유발하는 패턴으로 이어질 수 있습니다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log 내 mdio_bus_phy_resume() 함수와 관련된 WARN_ON 메시지 및 커널 스택 트레이스 확인.
(2) 탐지 규칙:

• 로직: kernel_log에서 mdio_bus_phy_resume AND WARN_ON 패턴 매칭.
• 정규식 예시: /mdio_bus_phy_resume.*WARN_ON/
  (3) 오탐 시나리오 및 튜닝: 하드웨어 드라이버의 정상적인 초기화 과정에서 발생하는 일시적 경고일 수 있습니다. 시스템 재부팅 직후가 아닌, 운영 중 전원 상태 전환 시점에 집중적으로 발생하는지 확인하여 튜닝합니다.

• 즉시(긴급 차단): 해당 기능을 사용하는 하드웨어의 절전 모드(Suspend/Resume) 진입을 비활성화합니다. (난이도: 저 / 영향: 전력 소모 증가 / 검증: powertop 등으로 상태 확인)
• 단기(완화): 시스템 가용성이 중요한 경우, 커널 패닉 시 자동 재부팅 설정(kernel.panic sysctl)을 통해 서비스 중단 시간을 최소화합니다. (난이도: 저 / 영향: 일시적 서비스 단절 / 검증: sysctl -a)
• 근본(해결): 영향을 받는 Linux 커널 버전을 최신 패치 버전으로 업데이트합니다. (영향 제품: 5.15.63-5.16, 5.19.4-6.12.24, 6.13-6.13.12, 6.14-6.14.3 등) (난이도: 중 / 영향: 재부팅 필요 및 커널 호환성 검토 필요 / 검증: uname -r 확인)

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00165로 매우 낮으며, 이는 이론적 심각도(CVSS 5.5)와 별개로 실제 야생에서의 악용 가능성이 극히 희박함을 의미합니다. 또한 KEV 미등재 및 AV:L 조건으로 인해 공격 난이도가 'hard'로 평가되었으며, 이에 따라 우선순위를 'monitor(모니터링)'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00165 · exploit=hard · in_scope=None