[단독분석] 분석 — CVE-2024-57924

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

• 원리: 파일 시스템의 ->encode_fh() 메서드가 실패할 때, 일부 커널 구성 요소가 이를 적절히 처리하지 못하고 WARN_ON() 단언문(assertion)을 발생시키는 결함입니다.
• 경로: 로컬 권한을 가진 사용자가 특정 조건(예: overlayfs 마운트 옵션 index=on,nfs_export=on 설정 및 inotify, drop_caches 활용)을 통해 파일 핸들 인코딩 실패를 유도하여 트리거합니다.
• 단계: [로컬 권한 획득] $\rightarrow$ [특정 파일 시스템 조건 구성] $\rightarrow$ [인코딩 실패 유발] $\rightarrow$ [커널 단언문 발생 및 시스템 불안정화].

악용 가능성: 본 취약점은 Linux kernel의 exportfs_encode_fh() 함수 호출 시 발생하는 잘못된 Assertion(WARN_ON) 처리로 인해 발생하며, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L과 PR:L 조건에 따라, 공격자는 시스템 내에 이미 유효한 사용자 계정 권한을 보유하고 로컬 환경에서 접근 가능한 상태여야 합니다. 공격 표면은 파일 핸들을 인코딩하는 커널 내부 함수와 이를 트리거할 수 있는 특정 파일시스템 인터페이스 및 name_to_handle_at(2) 시스템 콜 등으로 제한됩니다. EPSS 수치가 0.00242로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점 존재 여부와 별개로 실제 야생(In-the-wild)에서 이를 악용한 공격 사례가 거의 관측되지 않았음을 시사합니다. 결과적으로 로컬 권한을 가진 공격자가 특정 조건의 파일 핸들 인코딩 실패를 유도해야 하므로, 외부망에서의 즉각적인 침투 경로보다는 내부 권한 상승이나 시스템 불안정성을 유발하는 국소적 위협으로 분석됩니다.

• 기술적 위험: 본 취약점의 CVSS 벡터(AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)와 설명에 근거할 때, 기밀성(C)과 무결성(I) 영향은 없으나 가용성(A)에 치명적인 영향을 줍니다. 커널 내 단언문 발생으로 인해 시스템 크래시 또는 서비스 중단(Denial of Service)이 발생할 수 있습니다.
• 비즈니스 리스크: 영향 제품 범위가 linux_kernel < 6.1.151, 6.2 - 6.6.74, 6.7 - 6.12.10 등 다수의 버전과 광범위한 공급망에 걸쳐 있어, 대규모 인프라 환경에서 예상치 못한 시스템 중단으로 인한 서비스 가용성 저하 및 운영 신뢰도 하락이 우려됩니다.
• 분석 근거: 다중 소스 데이터 간 일관성이 확인되어 신뢰도가 높으며(1.0), 영향 범위가 넓은 라이브러리/커널 특성을 반영하였습니다.

• 추정: 단독으로 권한 상승을 일으키지는 않으나, 시스템 가용성을 저하시켜 다른 보안 메커니즘의 무력화를 노리는 DoS 체이닝의 일부로 활용될 가능성이 있습니다.

• 로그 분석: 커널 로그(dmesg, /var/log/kern.log)에서 WARN_ON 또는 encode_fh 관련 assertion failure 메시지 및 스택 트레이스 확인.
• 패턴 예시: kernel: [XXXXX] WARNING: CPU: X: PID X ...와 함께 exportfs_encode_fh 또는 overlayfs 관련 함수 호출 경로가 포함된 로그 패턴 탐지.

• 근본 해결: 영향 범위에 해당하는 Linux 커널 버전을 최신 패치 버전으로 업데이트하여 WARN_ON() 단언문을 제거하고 실패 처리를 유연하게 변경한 수정 사항을 적용하십시오.
• 즉시 조치 및 우선순위:
  • 우선순위: monitor (모니터링). 결정 논리는 CVSS(5.5)가 중간 수준이고, KEV에 등재되지 않았으며, 실측 악용 예측치인 EPSS가 0.00242(백분위 0.1547)로 매우 낮아 실제 야생에서의 악용 가능성이 희박하기 때문입니다.
  • 제한: 불필요한 overlayfs 마운트 옵션(index=on,nfs_export=on) 사용을 지양하고 로컬 권한자의 비정상적인 커널 리소스 접근을 모니터링하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None