[단독분석] 분석 — CVE-2025-71114

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 부팅 시 via_wdt 드라이버가 allocate_resource() 로 MMIO 영역을 할당하지만 이름을 지정하지 않음.
• 이로 인해 /proc/iomem 에 “<BAD>” 항목이 생성되고, 이후 자원 조회·충돌 검사에서 오류가 발생해 커널이 멈춤.
• 공격자는 시스템 재부팅 또는 부트 파라미터 조작을 통해 해당 드라이버가 로드된 상태로 부팅하도록 만들면, 정상적인 부팅 흐름을 방해할 수 있음.
• 권한 요구는 로컬이며, 실제 악용에는 루트·특권 모듈 수준의 접근이 필요함(추정).

악용 가능성: 이 취약점은 AV:L(로컬) · AC:L(낮음) · PR:L(로컬 권한 필요) · UI:N(사용자 개입 없음) 이라는 CVSS 벡터에 따라, 공격자는 시스템에 로컬 접근 권한만 있으면 추가적인 복잡도 없이 악용이 가능하다는 점을 의미합니다. 그러나 등급이 hard 으로 판단된 이유는 실제 공격 조건이 제한적이기 때문입니다. 해당 결함은 부팅 과정에서 /proc/iomem 에 “<BAD>” 엔트리가 생성되는 상황에만 노출되며, 이를 이용하려면 공격자가 커널 모듈 로드·부팅 파라미터 조작 등으로 초기화 단계에 개입해야 합니다. EPSS 값이 0.00123 로 매우 낮고 KEV 목록에도 포함되지 않아 현재까지 실전 악용 사례가 거의 없으며, 이는 이론적 심각도와는 별개로 실제 위협이 제한적임을 뒷받침합니다. 따라서 공격 표면은 MMIO 리소스 할당 루틴과 부팅 시점의 커널 자원 트리 조회에 국한되며, 일반 사용자나 원격 접근만으로는 이용할 수 없습니다. 이러한 제약 때문에 난이도는 낮지만, 필요한 로컬 권한·부팅 단계 개입이라는 전제조건이 존재하므로 전체적인 악용 가능성은 hard 등급에 부합합니다.

• 기술적 위험: C·I 영향 없음, A(Availability)만 심각하게 훼손되어 부팅 불가 → 서비스 중단. CVSS 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H에 명시된 대로 가용성 손실이 주요 결과.
• 비즈니스 리스크:
  • 가용성 상실로 SLA 위반 및 복구 비용 증가.
  • 자동 재부팅을 사용하는 클라우드·서버 환경에서 RTO(복구 시간 목표)가 크게 늘어날 수 있음.
  • 장기적인 서비스 신뢰도 저하 가능성.
• 영향 범위: Linux kernel 3.3.1 ~ 6.18.3 전 버전(다수 배포판에 포함) — [교차검증] 다중 소스에서 일관성이 확인됨(신뢰도 1.0).
• 악용 가능성: EPSS = 0.00123, 백분위 0.02474로 현재 실측 악용 사례는 매우 드뭄([실측 악용예측]). “exploit = hard” 평가와 결합해 실제 발생 확률은 낮지만, 조건이 충족될 경우 즉시 서비스 중단을 초래함.

• 다른 커널 드라이버에서도 이름 없는 리소스가 <BAD> 로 표시되어 부팅·리소스 관리에 영향을 주는 사례가 보고된 바 있음. 동일 패턴("<BAD>" 엔트리) 활용한 연쇄적 서비스 방해 가능성은 존재하지만, 구체적인 CVE 번호는 확인되지 않음.

• 부팅 후 /proc/iomem 에 “<BAD>” 문자열이 나타나는지 모니터링.
• dmesg 또는 시스템 로그에 via_wdt 초기화·resource allocation 오류 메시지가 기록되는지 확인.
• auditd 로 init_module/finit_module 이벤트를 감시해 via_wdt 모듈 로드 시점을 포착.

1. 즉시 조치: VIA watchdog 드라이버가 필요하지 않은 경우 /etc/modprobe.d/blacklist.conf 에 blacklist via_wdt 추가하여 로드를 차단.
2. 패치 적용: 해당 취약점을 해결한 최신 커널(예: 6.1.x 이후)로 업데이트([우선순위 결정] → monitor 수준).
3. 재부팅 검증: 업데이트 후 부팅 시 /proc/iomem 에 <BAD> 항목이 없고 dmesg 에 오류가 남지 않는지 확인.
4. 장기 방안: 커널·드라이버 보안 패치 자동화 및 “Unnamed resource allocation” 탐지 규칙을 SIEM/EDR에 추가하여 유사 결함 조기 감지.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None