[방어] 분석 — CVE-2026-23019

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

• 경로: 로컬 권한을 가진 사용자가 devlink 인터페이스를 통해 네트워크 장치 설정을 시도할 때 발생합니다.
• 원리: prestera_devlink_alloc() 함수 내에서 devlink_alloc() 호출 결과가 NULL(메모리 할당 실패)임에도 불구하고, 이에 대한 예외 처리 없이 devlink_priv()를 호출하여 NULL 포인터를 참조(Dereference)합니다.
• 단계: [로컬 권한 획득] $\rightarrow$ [특정 네트워크 드라이버 대상 devlink 설정 요청] $\rightarrow$ [메모리 할당 실패 유도/발생] $\rightarrow$ [Kernel Panic 발생].

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 하며 네트워크를 통한 원격 직접 공격은 불가능합니다. 공격 표면은 Linux 커널의 Marvell Prestera 드라이버 내 devlink 할당 프로세스이며, 특정 엔드포인트나 파라미터 조작보다는 시스템 자원 고갈 상태에서 devlink_alloc()이 NULL을 반환하도록 유도하는 트리거 조건이 필요합니다. EPSS 수치가 0.00115로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 크래시 가능성과 별개로 실제 야생(In-the-wild)에서 익스플로잇으로 악용된 사례가 극히 드물다는 것을 의미합니다. 결과적으로 메모리 할당 실패라는 특수 상황을 강제해야 하며 로컬 권한이 전제되어야 하므로, 일반적인 외부 침입 경로보다는 시스템 가용성을 저해하려는 내부 위협이나 권한 상승 시나리오에서 제한적으로 악용될 가능성이 높습니다.

• 가용성 상실(DoS): NULL 포인터 참조로 인해 커널 패닉이 발생하며 시스템이 즉시 중단됩니다.
• 영향 범위: CVSS 벡터(AV:L/PR:L)에 따라 로컬 권한이 있는 사용자에 의해 촉발되며, 결과적으로 전체 시스템 가용성에 심각한 타격(A:H)을 줍니다.

• 유형: 메모리 관리 미흡으로 인한 NULL Pointer Dereference 패턴입니다.
• 체이닝 가능성: 단독으로는 DoS만 유발하지만, 시스템 가용성을 무너뜨려 다른 보안 메커니즘(Watchdog, Failover)의 오작동을 유도하는 체이닝의 시작점으로 활용될 수 있습니다.

본 취약점은 커널 내부 메모리 할당 실패 시 발생하는 Crash이므로, 공격 전조보다는 결과(Crash) 로그 탐지가 핵심입니다. 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으므로 아래 지표를 신뢰할 수 있습니다.

• 로그 지표:

  • dmesg 또는 /var/log/syslog, /var/log/kern.log 내 Kernel Oops 메시지.
  • 특정 함수 호출 스택(Call Trace)에 prestera_devlink_alloc 및 devlink_priv 포함 여부.

• 탐지 규칙 예시:

  • SIEM 쿼리 (Pseudo-code):
    SELECT timestamp, hostname, message FROM kernel_logs WHERE message LIKE '%Oops%' AND message LIKE '%prestera_devlink_alloc%' AND message LIKE '%NULL pointer dereference%'
  • 정규식 패턴: /(?i)Unable to handle kernel NULL pointer dereference.*Call Trace:.*prestera_devlink_alloc/

• 오탐 튜닝 및 시나리오:

  • 오탐: 일반적인 하드웨어 결함이나 다른 드라이버의 메모리 부족으로 인한 Crash.
  • 튜닝: Call Trace 내에 Marvell Prestera 관련 심볼이 명확히 포함되어 있는지 확인하여 범위를 좁힙니다.

EPSS 수치가 0.00115로 매우 낮고, 실측 악용 예측 등급이 'hard'이며 KEV에 등재되지 않은 점을 근거로 우선순위를 monitor로 결정하였습니다. 하지만 영향 범위가 광범위하므로 아래 단계별 조치를 권고합니다.

• 즉시(긴급 차단):

  • 조치: /dev/net/ 및 관련 네트워크 설정 인터페이스에 접근 가능한 일반 사용자 계정의 권한을 최소화하거나, CAP_NET_ADMIN 권한 부여를 엄격히 제한합니다.
  • 난이도/영향: 낮음 / 일부 관리 도구 작동 불가 가능성.
  • 검증: getcap 명령어로 불필요한 바이너리의 네트워크 권한 확인.

• 단기(완화):

  • 조치: 시스템 메모리 부족(OOM) 상황이 발생하지 않도록 모니터링 및 리소스 제한을 설정하여 devlink_alloc() 실패 확률을 낮춥니다.
  • 난이도/영향: 중간 / 성능 오버헤드 없음.
  • 검증: free -m 및 OOM Killer 로그 확인.

• 근본(해결):

  • 조치: 영향받는 커널 버전(5.10.1 ~ 6.18.6 등)에서 해당 패치가 적용된 최신 커널로 업데이트합니다. (NULL 체크 로직 추가 버전)
  • 난이도/영향: 높음 / 재부팅 필요 및 커널 호환성 테스트 필수.
  • 검증: uname -r 확인 및 패치된 커널 버전 적용 여부 검증.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None