[공격] 분석 — CVE-2026-23095

• 심각도 high · CVSS 7.5 · EPSS 0.00239 · 악용난이도 moderate

본 취약점은 Linux 커널의 GUE(Generic UDP Encapsulation) 프로토콜 처리 과정에서 발생하는 skb (socket buffer) 메모리 누수 결함이다.

• 공격 표면 및 트리거:
  • 프로토콜: UDP 기반의 GUE 캡슐화 패킷.
  • 트리거 조건: GUE 헤더 내 proto_ctype (inner IP protocol) 값이 0인 패킷을 전송.
  • 결함 원리: gue_udp_recv() 함수가 inner protocol이 0일 때 -guehdr->proto_ctype(즉, 0)을 반환하며 "resubmit"을 시도한다. 그러나 하위 계층의 ip_protocol_deliver_rcu()는 0이 아닌 프로토콜 번호만 처리하므로, 해당 패킷은 해제되지 않고 커널 메모리에 잔류하여 skb memleak을 유발한다.
• 공격 체인:
  1. 정찰: 대상 서버가 GUE 모듈을 로드했거나 UDP 포트를 통해 GUE 트래픽을 수신하는지 확인.
  2. 초기 접근: 네트워크 상에서 특수하게 조작된 GUE 패킷(Inner Protocol = 0)을 지속적으로 송신. (AV:N / AC:L / PR:N / UI:N 조건 충족)
  3. 실행/영향: 패킷이 도달할 때마다 skb 객체가 할당되지만 해제되지 않고 누적됨 $\rightarrow$ 커널 슬랩(Slab) 메모리 고갈 $\rightarrow$ 시스템 응답 불능 및 Kernel Panic 유발 (A:H).
• 공격자 관점의 실현성:
  • 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특수 권한 없이 네트워크 패킷 송신만으로 트리거 가능하므로 실전 악용 가능성이 높다.
  • 단, EPSS 수치가 0.00239(백분위 0.15071)로 매우 낮게 측정된 점은 현재 실제 야생(In-the-wild)에서 활발히 이용되는 페이로드는 발견되지 않았음을 시사한다. 하지만 영향 범위가 Linux 커널 3.18부터 6.18까지 광범위하여 잠재적 위험도는 매우 높다.

악용 가능성: 본 취약점은 네트워크를 통해 원격으로 트리거 가능한(AV:N) 메모리 누수 결함으로, 공격 난이도는 매우 낮으나(AC:L/PR:N/UI:N) 실질적인 악용 가능성은 제한적입니다. 공격 표면은 GUE(Generic UDP Encapsulation) 프로토콜을 처리하는 커널의 gue_udp_recv() 함수 및 관련 네트워크 엔드포인트이며, 내부 IP 프로토콜 번호를 0으로 설정한 특수하게 조작된 GUE 패킷을 전송함으로써 트리거됩니다. EPSS 수치가 0.00239로 매우 낮고 KEV에 등재되지 않은 점은 해당 취약점이 현재 실제 공격에 활발히 이용되고 있지 않음을 시사합니다. 이는 단순히 메모리가 누수되는 memleak 특성상, 단일 패킷으로 즉각적인 RCE나 권한 상승을 일으키기보다 시스템 자원을 점진적으로 고갈시키는 DoS(Denial of Service) 형태로 작용하기 때문입니다. 따라서 이론적 심각도보다는 특정 환경에서 GUE 프로토콜을 활성화하여 사용하는 서버를 대상으로 한 가용성 저해 공격으로 연결될 가능성이 큽니다.

• 가용성 파괴(DoS): 지속적인 메모리 누수로 인해 시스템의 가용 메모리가 고갈되어 OOM(Out-Of-Memory) Killer가 작동하거나 커널 패닉이 발생, 서비스가 완전히 중단된다.

• 메모리 고갈 $\rightarrow$ 타 취약점 트리거: 추정: 단순 DoS를 넘어, 메모리 압박 상태(Memory Pressure)를 인위적으로 조성하여 커널의 다른 레이스 컨디션(Race Condition)이나 에러 핸들링 경로에서 발생하는 Use-After-Free(UAF) 등의 취약점을 더 쉽게 유도하는 환경 구축용으로 활용될 수 있다.
• 체이닝 패턴: Remote Trigger $\rightarrow$ Kernel Memory Leak $\rightarrow$ System Instability/Panic. 본 결함은 직접적인 권한 상승이나 RCE로 이어지지는 않으나, 인프라 전체의 가용성을 무너뜨리는 고효율 DoS 공격 수단이 된다.

• 네트워크 레벨: UDP 트래픽 중 GUE 헤더의 inner protocol 필드가 0인 패킷 유입 감시. (패턴 예시: UDP Payload $\rightarrow$ GUE Header $\rightarrow$ proto_ctype == 0)
• 커널 레벨: kmemleak 도구를 통한 skb 객체의 비정상적 증가 및 gue_udp_recv 관련 백트레이스 확인.

• 즉시 조치: 사용하지 않는 경우 GUE 커널 모듈을 언로드(modprobe -r gue)하거나, 방화벽(iptables/nftables)에서 GUE 포트로 들어오는 비정상 패킷 차단.
• 근본 해결: 영향받는 버전(3.18 ~ 6.18.8 등)에 해당하는 최신 보안 패치 커널로 업데이트하여 proto_ctype == 0인 패킷을 드롭하도록 수정된 코드를 적용.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00239 · exploit=moderate · in_scope=None