[방어] 분석 — CVE-2024-58086

• 심각도 medium · CVSS 5.5 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건: drm/v3d 드라이버 내에서 performance monitor(perfmon)가 파괴될 때, 현재 활성화된 v3d->active_perfmon을 먼저 중지시키지 않아 stale pointer(허상 포인터)가 남게 되는 결함을 이용합니다.
(2) 공격 단계:

• 정찰 및 초기접근: 로컬 사용자 권한(PR:L)으로 시스템에 접속합니다.
• 실행: v3d 드라이버의 perfmon 관련 인터페이스를 통해 특정 객체를 생성하고 파괴하는 과정을 반복하여 Use-After-Free(UAF) 상태를 유도합니다.
• 영향: 잘못된 메모리 참조를 통해 커널 패닉을 유발하거나 추정: 임의 코드 실행을 시도합니다.
  (3) 공격 표면: Linux 커널의 drm/v3d 드라이버 및 관련 /dev/dri/ 장치 노드입니다.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(일반 사용자 권한 필요), UI:N(사용자 상호작용 불필요). 즉, 시스템에 계정을 가진 로컬 사용자가 특수한 드라이버 조작을 통해 가용성을 해치는 시나리오입니다.

악용 가능성: 본 취약점은 Linux kernel의 drm/v3d 드라이버 내에서 Performance Monitor(perfmon) 객체 파괴 시 적절한 정지 절차가 누락되어 발생하는 Use-After-Free(UAF) 성격의 결함입니다. 공격 벡터가 AV:L 및 PR:L로 정의된 만큼, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근하여 커널 드라이버와 상호작용할 수 있는 로컬 쉘을 확보해야 하므로 진입 장벽이 높습니다. 특히 GPU 성능 모니터링 관련 엔드포인트 및 파라미터를 정밀하게 조작하여 v3d->active_perfmon 포인터를 stale 상태로 만들어야 하므로, 실제 익스플로잇 구현 난이도는 'Hard' 등급에 부합합니다. EPSS 수치가 0.00171로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생에서 이 취약점을 이용한 공격 사례가 거의 없음을 시사하며, 이론적 심각도보다 실제 악용 가능성은 현저히 낮습니다. 그럼에도 불구하고 로컬 권한을 가진 공격자가 커널 메모리의 정의되지 않은 동작(Undefined Behavior)을 유발해 시스템 불안정성이나 권한 상승을 꾀할 수 있는 잠재적 공격 표면이 존재합니다. 결과적으로 본 취약점은 외부망 노출 위험은 없으나, 내부 침투 후 권한 상승을 노리는 정교한 로컬 공격 시나리오에서 위협이 될 수 있습니다.

(1) 기술적 위험: stale pointer 참조로 인한 정의되지 않은 동작(Undefined Behavior) 및 커널 패닉이 발생하여 시스템이 즉각적으로 중단되는 서비스 거부(DoS, A:H) 위험이 큽니다.
(2) 비즈니스 영향: 해당 드라이버를 사용하는 하드웨어 기반의 서버나 임베디드 장비의 가용성이 상실됩니다. 다만, 로컬 권한이 필요하므로 외부망에서의 직접적인 침투보다는 내부 사용자에 의한 시스템 마비 위험으로 제한됩니다.

• 추정: UAF(Use-After-Free) 유형의 결함으로, 단독으로는 시스템 크래시를 유발하지만, 다른 커널 메모리 누수(Information Leak) 취약점과 체이닝될 경우 KASLR 우회 및 권한 상승(Privilege Escalation)으로 이어질 가능성이 있는 패턴입니다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log에서 v3d 드라이버와 관련된 Segmentation Fault, General Protection Fault, 혹은 Kernel Panic 덤프 내의 active_perfmon 관련 함수 호출 스택을 확인합니다.
(2) 탐지 규칙 예시:

• 로직: 단일 로컬 사용자가 짧은 시간 내에 /dev/dri/cardX 또는 v3d 관련 장치 파일에 대해 비정상적으로 많은 I/O 요청을 보내는 행위를 모니터링합니다.
• SIEM 의사코드: SELECT user, timestamp FROM kernel_audit WHERE event_id = 'SYSCALL' AND target_file LIKE '/dev/dri/%' GROUP BY user HAVING count(*) > [Threshold] WITHIN 1m
• 로그 패턴(정규식): v3d.*(BUG|Oops|Panic).*active_perfmon (커널 로그 내 v3d 관련 패닉 발생 여부 탐지)
  (3) 오탐 튜닝: GPU 가속을 사용하는 정상적인 고부하 애플리케이션의 동작과 구분하기 위해, 프로세스 이름(예: Xorg, Wayland 등)을 화이트리스트에 추가하고 일반 사용자 계정의 직접적인 장치 접근만 필터링합니다.

• 즉시(긴급 차단): modprobe -r v3d 명령으로 해당 드라이버 모듈을 언로드하거나, /etc/modprobe.d/blacklist.conf에 blacklist v3d를 추가하여 드라이버 로드를 차단합니다. (난이도: 하 / 영향: GPU 가속 불가 / 검증: lsmod | grep v3d 결과 없음 확인)
• 단기(완화): 일반 사용자의 /dev/dri/ 장치 접근 권한을 제한하는 udev 규칙을 적용하여 공격 표면을 최소화합니다. (난이도: 중 / 영향: 일부 그래픽 앱 실행 불가 / 검증: 비권한 계정에서 장치 접근 테스트)
• 근본(해결): 영향 받는 버전 범위(5.15 ~ 6.13.4)를 확인하고, 패치가 적용된 최신 커널 버전으로 업데이트합니다. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r로 버전 확인)

[파이프라인 근거]
본 분석은 다중 소스에서 데이터 일관성이 확인되어 신뢰도 1.0으로 처리되었습니다. EPSS 실측값(0.00171, 백분위 0.06834)은 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 의미합니다. 이에 따라 KEV 미등재 및 AV:L 조건을 고려하여 우선순위를 'monitor'로 결정하였으며, 패치 적용 전까지는 시스템 가용성 모니터링에 집중하는 전략을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None