[방어] 분석 — CVE-2025-37959

• 심각도 medium · CVSS 5.5 · EPSS 0.00155 · 악용난이도 hard

(1) 트리거 조건: bpf_redirect_peer 함수를 사용하여 패킷을 다른 네트워크 네임스페이스(network namespace)의 장치로 리다이렉트할 때, 커널이 skb(socket buffer) 정보를 적절히 세척(scrubbing)하지 않는 결함을 이용합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 시스템에 대한 낮은 수준의 권한(PR:L)을 획득한 상태여야 합니다.
• 실행: eBPF 프로그램을 작성하여 bpf_redirect_peer를 호출, 패킷을 타 네임스페이스로 전송합니다.
• 영향: 이전 네임스페이스에서 설정된 skb 확장 정보(예: IPsec decryption 관련 상태)가 그대로 유지되어 대상 네임스페이스의 네트워크 스택에서 오작동하거나 잘못 처리됩니다.
  (3) 공격 표면: Linux 커널의 eBPF 서브시스템 및 네트워크 네임스페이스 간 패킷 리다이렉션 경로입니다.
  (4) CVSS 벡터 연결: AV:L (로컬 접근 필요), PR:L (최소한의 권한 필요), UI:N (사용자 상호작용 불필요). 즉, 이미 시스템에 진입한 공격자가 내부 권한을 이용해 네임스페이스 간 격리를 무력화하거나 서비스 장애를 유도하는 시나리오입니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L과 PR:L 조건이 결합되어, 공격자는 이미 시스템 내부에 로컬 계정 권한을 획득하고 Linux 커널의 BPF(Berkeley Packet Filter) 프로그램을 로드할 수 있는 특권 수준의 접근 권한을 전제로 합니다. 공격 표면은 네트워크 네임스페이스 간 패킷을 전달하는 bpf_redirect_peer 함수와 관련 SKB(Socket Buffer) 구조체이며, 특히 IPsec 복호화 후 컨테이너 네임스페이스로 패킷이 리다이렉트되는 지점이 주요 트리거 포인트입니다. 이론적으로는 네임스페이스 간 정보 유출 및 오용 가능성이 존재하나, EPSS 수치가 0.00155로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 드물음을 시사합니다. 결과적으로 로컬 권한 획득이라는 높은 진입 장벽과 특정 네트워크 구성 환경이 일치해야 한다는 제약 조건으로 인해, 즉각적인 대규모 확산 가능성은 낮으나 내부 침투 후 권한 상승이나 데이터 유출 단계에서 악용될 잠재적 위험이 있습니다.

(1) 기술적 위험:

• 가용성 저하(A:H): 리포트된 사례와 같이 Cilium 등 CNI 환경에서 패킷이 드롭되어 네트워크 통신이 중단되는 현상이 발생합니다.
• 격리 무력화: 추정: 한 네임스페이스의 skb 정보가 다른 네임스페이스로 유입됨으로써, 논리적으로 분리된 네트워크 환경 간의 데이터 오염이나 비정상적인 패킷 처리가 가능해집니다.
  (2) 비즈니스 영향: 컨테이너 기반 인프라(K8s 등)에서 특정 포드(Pod) 간 통신 장애가 발생하여 서비스 가용성이 훼손될 수 있으며, 네트워크 격리 정책의 신뢰성이 하락합니다.

• 추정: 본 결함은 단독으로 RCE를 일으키지는 않으나, 네임스페이스 간 정보 유출(Information Leak) 또는 상태 오염을 유발하는 유형입니다.
• 체이닝 패턴: 로컬 권한 획득 $\rightarrow$ eBPF 기반 skb 정보 조작/유입 $\rightarrow$ 네트워크 스택 오작동 유도 $\rightarrow$ 서비스 거부(DoS) 또는 추정: 권한 상승을 위한 네트워크 경로 우회 순으로 이어질 수 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/kern.log) 및 eBPF 관련 감사 로그에서 bpf_redirect_peer 호출과 관련된 비정상적인 패킷 드롭이나 XFRM 레이어의 오류 메시지를 확인합니다.
(2) 탐지 규칙 예시:

• 로직 1 (커널 트레이스): pwru 또는 bpftrace를 사용하여 bpf_redirect_peer 호출 시 skb->active_extensions 값이 변경되지 않고 네임스페이스가 전환되는지 모니터링.
• 로직 2 (SIEM 의사코드):
  SELECT timestamp, pid, comm FROM kernel_audit WHERE event_id = 'BPF_PROG_LOAD' AND prog_type = 'BPF_PROG_TYPE_SCHED_CLS' AND payload CONTAINS 'bpf_redirect_peer' (권한이 낮은 사용자가 리다이렉트 기능을 포함한 eBPF 프로그램을 로드하는지 감시)
• 로직 3 (네트워크 드롭): tcpdump 또는 dropwatch를 통해 XFRM 레이어에서 특정 패턴의 패킷이 지속적으로 드롭되는지 확인.
  (3) 오탐 튜닝: Cilium과 같은 네트워크 솔루션이 정상적으로 eBPF를 사용하는 경우 다량의 로그가 발생할 수 있습니다. 따라서 '정상적인 CNI 프로세스' 외의 알 수 없는 바이너리가 bpf_redirect_peer를 호출하는지 화이트리스트 기반으로 튜닝해야 합니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00155(백분위 0.05115)로 실측 악용 가능성은 매우 낮습니다. 따라서 KEV 미등재 및 exploit=hard 조건을 근거로 우선순위를 monitor(모니터링)로 결정하였습니다.

• 즉시 (긴급 차단):
  • 조치: 비특권 사용자의 eBPF 프로그램 로드 제한 (sysctl -w kernel.unprivileged_bpf_disabled=1).
  • 난이도: 낮음 / 운영 영향: 높음(eBPF 기반 모니터링 툴 작동 중단 가능) / 검증: sysctl 값 확인.
• 단기 (완화):
  • 조치: 네트워크 네임스페이스 간 리다이렉션이 필수적이지 않은 경우, 관련 CNI 설정이나 방화벽 규칙을 통해 불필요한 트래픽 경로 차단.
  • 난이도: 중간 / 운영 영향: 중간(네트워크 구성 변경 필요) / 검증: 통신 테스트.
• 근본 (해결):
  • 조치: 영향받는 커널 버전(5.10~6.14.7 등 범위 내)을 수정된 최신 커널 버전으로 업데이트하여 bpf_redirect_peer 시 skb 세척 로직 적용.
  • 난이도: 중간 / 운영 영향: 낮음(재부팅 필요) / 검증: uname -r 및 패치 버전 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00155 · exploit=hard · in_scope=None