[단독분석] 분석 — CVE-2026-43026

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

본 취약점은 netfilter의 ctnetlink에서 발생하는 정보 유출(Information Disclosure) 문제입니다.

1. 조건: CONFIG_NF_NAT가 활성화된 환경에서 발생합니다.
2. 원리: ctnetlink_alloc_expect()가 제로화되지 않은 slab cache를 통해 expectation을 할당할 때, netlink 메시지에 CTA_EXPECT_NAT 필드가 없으면 saved_addr, saved_proto 등의 필드가 초기화되지 않고 이전 메모리 점유자가 남긴 잔류 데이터(Stale data)가 그대로 유지됩니다.
3. 경로: 공격자는 이 상태에서 ctnetlink_exp_dump_expect()를 통해 해당 데이터를 유저 공간으로 덤프하여 커널 메모리의 일부 내용을 읽어낼 수 있습니다.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 모듈 내 ctnetlink 인터페이스에서 발생하는 정보 유출(Information Leak) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 이미 로그인한 상태에서 낮은 권한의 사용자 계정을 보유해야 하며, 로컬 환경에서의 접근이 필수적인 전제조건입니다. 공격 표면은 Netlink 프로토콜을 통한 ctnetlink 엔드포인트이며, 구체적으로는 CTA_EXPECT_NAT 속성이 누락된 Netlink 메시지를 통해 초기화되지 않은 slab cache의 잔류 데이터(Stale data)를 유도하는 방식입니다. EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도에 비해 실질적인 공격 가능성은 제한적입니다. 그러나 메모리 레이아웃 정보 유출은 ASLR 우회 등 추가 공격의 징검다리로 활용될 수 있으므로, 로컬 권한 상승을 노리는 정밀한 타겟팅 공격 관점에서는 잠재적 위협이 됩니다.

• 기술적 위험: 커널 슬랩(Slab) 내의 잔류 데이터가 유출되는 정보 유출 취약점입니다. 직접적인 시스템 장악이나 권한 상승을 일으키지는 않으나, 유출된 메모리 내용에 따라 커널 주소 공간 배치 무작위화(KASLR) 우회 등 다른 공격을 위한 보조 수단으로 활용될 가능성이 있습니다.
• 비즈니스 리스크:
  • 영향 범위: Linux kernel 3.4부터 6.19까지 매우 광범위한 버전이 영향권에 있어, 다수의 레거시 시스템 및 최신 배포판이 노출되었을 가능성이 큽니다. (품질 신호: 영향 제품군 8개 그룹으로 확인되어 공급망 관점의 노출 규모가 매우 넓음)
  • 리스크 수준: CVSS 5.5(Medium)이며, 공격자가 이미 로컬 권한(PR:L)을 가지고 있어야 하므로 외부에서 즉각적인 침투로 이어질 위험은 낮습니다. 다만, 내부 위협이나 권한 상승 체이닝 시 리스크가 증가합니다.

• 유형: Uninitialized Memory Read / Information Leak.
• 체이닝 가능성: 단독으로는 영향력이 제한적이나, 커널 메모리 주소를 식별하여 다른 메모리 오염(Memory Corruption) 취약점의 페이로드를 정밀하게 구성하는 단계에서 체이닝될 수 있습니다.

• 분석 지표: ctnetlink를 통한 expectation 덤프 요청 시, 비정상적으로 빈번하거나 반복적인 netlink 메시지 패턴을 모니터링합니다.
• 패턴 예시: 유저 공간에서 CTA_EXPECT_NAT가 없는 상태로 expectation을 생성한 직후 즉시 덤프하여 데이터를 수집하려는 행위.

• 근본 해결: 영향받는 Linux kernel 버전을 최신 보안 패치 버전으로 업데이트합니다. (saved_addr, saved_proto, dir 필드를 명시적으로 제로화하는 패치 적용)
• 우선순위 및 대응: 본 건은 'monitor(모니터링)' 등급으로 분류됩니다.
  • 근거: 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으나, 실측 EPSS 값이 0.00129로 매우 낮아 실제 야생에서의 악용 가능성이 희박합니다. 또한 KEV(Known Exploited Vulnerabilities)에 등재되지 않았고 exploit 난이도가 'hard'로 예측되므로, 즉각적인 긴급 패치보다는 정기 업데이트 주기 내 해결을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None