[단독분석] 분석 — CVE-2025-21780

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

• 로컬 사용자(특권 낮음) 가 /sysfs 아래 amdgpu 드라이버가 제공하는 pptable 파일에 작은 데이터를 먼저 쓰고, 이후 큰 데이터를 써서 smu_sys_set_pp_table() 함수에서 버퍼 오버플로우를 유발합니다.
• 성공 시 커널 메모리 손상이 발생하여 임의 코드 실행이 가능해집니다.

악용 가능성: 이 취약점은 로컬(AV:L) 환경에서만 악용될 수 있으며, 공격자는 동일한 권한(PR:L)을 가진 사용자라야 합니다. 실제로는 sysfs 경로 /sys/class/drm/card*/amdgpu/pptable 에 두 차례에 걸쳐 서로 다른 크기의 PPTABLE 데이터를 쓰는 것이 전제조건이며, UI가 필요하지 않으므로 복잡도(AC:L)는 낮습니다. 그러나 해당 파일은 일반 사용자에게 기본적으로 노출되지 않으며, 보통 루트 또는 DRM 드라이버를 제어할 수 있는 권한이 있어야 하므로 공격 난이도는 “hard”로 평가됩니다. EPSS 값 0.00258(≈0.26 %)은 아직 관측된 악용 사례가 거의 없지만, 완전한 무시보다는 잠재적 시도가 존재함을 의미합니다. KEV에 등재되지 않은 점은 현재까지 공개적으로 확인된 악성 코드나 공격 캠페인이 보고되지 않았음을 나타냅니다. 따라서 공격 표면은 제한적인 sysfs 엔드포인트와 해당 파라미터(작은 PPTABLE → 큰 PPTABLE)이며, 이를 조작할 수 있는 로컬 권한이 확보된 경우에만 위험이 현실화됩니다.

• 기술적 위험: 버퍼 오버플로우에 의해 커널 수준에서 임의 코드가 실행될 수 있어, 시스템 전체 장악·루트 권한 획득, 메모리 손상으로 인한 서비스 중단 및 데이터 무결성 파괴가 발생합니다. (C = H, I = H, A = H)
• 비즈니스 영향:
  • 가용성 저하 – 핵심 서버가 예기치 않게 재부팅되거나 다운될 위험이 있습니다.
  • 규제·컴플라이언스 위험 – 민감 데이터가 메모리에서 유출되면 개인정보보호법 등 관련 규정 위반 가능성이 있습니다.
• 영향 제품 및 노출 규모: Linux 커널 커밋 범위 137d63abbf6a0859e79b662e81d21170ecb75e59 이상 3484ea33157bc7334f57e64826ec5a4bf992151a 미만, 그리고 5.2 버전 전반에 적용됩니다. 해당 커밋을 포함한 모든 배포판이 영향을 받으며, 공개된 소스와 바이너리 모두 동일합니다.
• 교차 검증: 다중 소스에서 일관성이 확인되었습니다([교차검증] 신뢰도 1.0).

• 동일한 amdgpu 드라이버 내 sysfs 경로를 이용한 권한 상승 및 메모리 손상 취약점(CWE‑119, CWE‑125)과 연계될 수 있습니다.
• 성공적인 커널 장악 후에는 기존에 보고된 CVE‑2024‑XXXX (예: 권한 상승) 등 다른 로컬 권한 상승 취약점을 추가로 활용할 가능성이 존재합니다.

• 시스템 콜 감시: write()/pwrite()가 /sys/class/drm/*/device/smu_pp_table 혹은 유사 경로에 수행되는 로그를 감사합니다.
• 커널 메시지: dmesg 또는 커널 로깅에서 “smu_sys_set_pp_table” 관련 오류·오버플로우 경고가 발생하면 탐지 신호가 됩니다.
• 무결성 모니터링: SELinux/AppArmor 정책 위반 로그 혹은 LSM이 차단한 sysfs 쓰기 시도가 감시 대상입니다.

1. 패치 적용 – 해당 커밋 3484ea33… 이후 버전으로 커널을 업데이트합니다. (즉시 조치)
2. 권한 제한 – amdgpu 드라이버의 sysfs 인터페이스에 대한 쓰기 권한을 root 혹은 신뢰된 서비스 계정으로만 제한하고, SELinux/AppArmor 정책으로 추가 보호합니다.
3. 감사 및 모니터링 강화 – 위 “탐지” 섹션에서 제시한 로그와 시스템 콜 감시를 활성화하여 비정상적인 sysfs 쓰기를 실시간 알림으로 받습니다.
4. 우선순위 판단 근거 – CVSS 7.8(고), KEV 미등재, EPSS 0.00258(실제 악용 가능성 낮음) 및 exploit 난이도 hard를 종합해 이번 주 내 패치 일정을 잡은 것이 합리적이며, 위 조치를 통해 위험을 효과적으로 감소시킬 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None