[분석가] 분석 — CVE-2026-40355

• 심각도 medium · CVSS 5.9 · EPSS 0.00611 · 악용난이도 hard

• 트리거 경로: /etc/gss/mech 파일에 NegoEx 메커니즘이 등록된 시스템에서, 애플리케이션이 gss_accept_sec_context() 함수를 호출할 때 발생합니다.
• 작동 원리: 인증되지 않은 원격 공격자가 특수하게 조작된 메시지를 전송하면, parse_nego_message 과정에서 NULL pointer dereference가 유발됩니다.
• 결과: 해당 프로세스가 즉시 비정상 종료(Crash)되어 서비스 거부 상태가 됩니다.

악용 가능성: 본 취약점은 AV:N/AC:H/PR:N/UI:N 벡터를 가지며, 네트워크를 통해 인증되지 않은 공격자가 원격으로 트리거할 수 있으나 실제 악용 난이도는 매우 높습니다(Hard). 공격자는 /etc/gss/mech에 NegoEx 메커니즘이 등록된 특정 환경의 시스템을 대상으로 gss_accept_sec_context() 함수가 호출되는 지점을 정확히 타격해야 하며, parse_nego_message 과정에서 NULL pointer dereference를 유발하는 특수하게 조작된 패킷을 전송해야 합니다. 공격 표면은 GSS-API 기반의 보안 컨텍스트 협상 프로토콜 엔드포인트이며, 특히 NegoEx 메커니즘이 활성화된 설정 파일 조건이 충족되어야 한다는 점이 진입 장벽으로 작용합니다. EPSS 수치는 0.00611로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 원격 트리거 가능성에도 불구하고 실제 야생(In-the-wild)에서의 악용 사례가 거의 관측되지 않았음을 시사합니다. 따라서 본 취약점의 악용 가능성은 특정 환경 설정이 일치해야 하는 제약 조건으로 인해 제한적이며, 공격 성공 시 서비스 거부(DoS) 상태를 유발하는 수준의 위험을 가집니다.

• 영향 제품 및 범위: MIT Kerberos 5 (krb5) 버전 1.18.0부터 1.22.2까지 영향을 받습니다.
• 기술적 위험:
  • 서비스 가용성 파괴: 단일 변조 패킷만으로도 프로세스를 강제 종료시킬 수 있는 Remote DoS 취약점입니다.
  • 인프라 마비(SPOF): KDC(Key Distribution Center)와 같이 인증 체계의 핵심 노드에 이 취약점이 존재할 경우, 전체 도메인의 인증 서비스가 중단되는 단일 장애점 리스크가 발생합니다.
  • 내부 위협: 외부망 노출이 없더라도 내부 침투 후 횡적 이동(Lateral Movement) 단계에서 관리자의 대응 능력을 무력화하기 위한 전략적 수단으로 악용될 가능성이 있습니다.
• 비즈니스 영향: 인증 서비스 중단으로 인한 전사적 업무 마비 및 시스템 신뢰성 붕괴가 예상됩니다. 다만, CVSS 5.9(Medium) 및 EPSS 0.00611(낮은 실제 악용 확률)을 근거로 볼 때, 현재 야생에서의 광범위한 악용 사례는 미관측 상태입니다.

• 유형: NULL pointer dereference 기반의 DoS 패턴입니다.
• 체이닝 가능성: 추정: 단순 가용성 파괴를 넘어, 프로세스 Crash 직전의 메모리 상태나 덤프 데이터를 이용한 추가 정보 유출 가능성을 배제할 수 없으나 현재 근거는 부족합니다.

• 시스템 로그: 일반적인 인증 실패(Authentication Failure) 로그가 아닌, SIGSEGV (Segmentation Fault)로 인한 프로세스 비정상 종료 이벤트 및 코어 덤프 생성 여부를 모니터링해야 합니다.
• 네트워크 패턴: NegoEx 메커니즘을 사용하는 비정상적인 GSS-API 협상 패킷의 유입을 추적합니다.

• 근본 해결: MIT Kerberos 5를 최신 버전(1.22.3 이상)으로 업데이트하여 패치를 적용하십시오.
• 즉시 조치: 패치가 불가능한 경우, /etc/gss/mech 설정 파일에서 NegoEx 메커니즘 항목을 제거하거나 비활성화하여 공격 표면을 차단하십시오.
• 우선순위 판단 근거: 다중 소스 데이터의 일관성이 확인되었으며(신뢰도 1.0), EPSS 수치(0.00611)와 복잡도(Hard)를 고려해 'monitor' 등급으로 분류되었습니다. 하지만 KDC 노출 여부에 따라 가용성 리스크가 급증하므로 환경에 따른 유연한 대응이 필요합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.9 · non-KEV · EPSS=0.00611 · exploit=hard · in_scope=None