[방어] 분석 — CVE-2025-21919

• 심각도 high · CVSS 7.8 · EPSS 0.00198 · 악용난이도 hard

(1) 트리거 조건: child_cfs_rq_on_list 함수 내에서 prev 포인터를 cfs_rq 구조체로 변환할 때, 해당 포인터가 struct rq의 leaf_cfs_rq_list를 가리키고 있을 경우 잘못된 메모리 참조(Invalid conversion)가 발생합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 사용자 계정 권한 획득 (AV:L, PR:L).
• 실행: CPU 스케줄러의 list_add_leaf_cfs_rq 과정에서 leaf_cfs_rq_list와 cfs_rq->leaf_cfs_rq_list가 동일한 리스트에 추가되도록 유도.
• 영향: 잘못된 포인터 변환을 통해 메모리 오염(Memory Corruption) 유발 $\rightarrow$ 추정: 커널 패닉(DoS) 또는 임의 메모리 쓰기를 통한 권한 상승 시도.
  (3) 공격 표면: Linux Kernel CFS(Completely Fair Scheduler) 내부 로직. 외부 네트워크 엔드포인트가 아닌 시스템 콜을 통한 커널 스케줄러 조작이 주 경로입니다.
  (4) CVSS 벡터 연결: AV:L 및 PR:L은 공격자가 이미 시스템에 로그인한 저권한 사용자여야 함을 의미하며, AC:L은 특별한 조건 없이 취약한 커널 버전에서 실행 가능함을 뜻합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 AV:L 및 PR:L 벡터가 시사하듯 공격자가 이미 시스템 내부에 유효한 사용자 계정 권한을 획득하여 로컬 환경에서 프로세스를 실행할 수 있는 전제조건이 필요하기 때문입니다. 공격 표면은 Linux Kernel의 스케줄러(sched/fair) 내부, 특히 child_cfs_rq_on_list 함수 내의 포인터 변환 과정에 있으며, 특정 조건에서 leaf_cfs_rq_list가 잘못된 cfs_rq 구조체로 해석될 때 Memory Corruption이 트리거됩니다. 하지만 EPSS 수치가 0.00198로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 메모리 오염 가능성과 달리 실제 야생(In-the-wild)에서 이를 정교한 권한 상승이나 코드 실행으로 연결시킨 사례가 극히 드물다는 것을 의미합니다. 결과적으로 AC:L로 복잡도는 낮으나, 커널 내부의 레이스 컨디션이나 메모리 레이아웃을 정밀하게 제어해야 하는 특성상 실제 악용 가능성은 제한적입니다. 공격자는 주로 CPU 스케줄링과 관련된 시스템 호출 및 태스크 그룹 조작을 통해 해당 엔드포인트에 접근하려 시도할 것입니다.

(1) 기술적 위험: 메모리 오염으로 인해 커널 수준의 Memory Fault가 발생하여 시스템이 즉시 중단(Crash/Panic)되거나, 운 좋게 가비지 데이터에 접근할 경우 권한 상승(Privilege Escalation)을 통해 Root 권한을 획득할 수 있습니다.
(2) 비즈니스 영향: 서버 가용성 상실로 인한 서비스 중단 및 시스템 전체 제어권 탈취 시 내부 기밀 데이터 유출 위험이 존재합니다.

• 추정: Memory Corruption 유형의 특성상, 단독으로는 Crash에 그칠 가능성이 높으나, 커널 메모리 레이아웃을 파악할 수 있는 Information Leak 취약점과 체이닝될 경우 정교한 권한 상승 공격으로 이어질 수 있습니다. (패턴: 정보 노출 $\rightarrow$ 메모리 오염 $\rightarrow$ 권한 상승)

(1) 로그 지표: 커널 링 버퍼(dmesg, /var/log/kern.log) 내 General Protection Fault, Kernel Panic, 또는 Invalid opcode와 함께 child_cfs_rq_on_list 관련 스택 트레이스가 남는지 확인합니다.
(2) 탐지 규칙:

• Rule 1 (SIEM/Log): source=kernel_log AND (message contains "General protection fault" OR message contains "Kernel panic") AND (message contains "child_cfs_rq_on_list")
• Rule 2 (Runtime): 추정: auditd를 통해 비정상적으로 많은 수의 프로세스 생성/삭제 및 스케줄러 관련 시스템 콜 호출 패턴 감시.
  (3) 오탐 튜닝: 정상적인 커널 업데이트나 드라이버 충돌로 인한 Panic과 구분하기 위해, 패닉 발생 직전 특정 사용자 계정의 비정상적 CPU 리소스 점유율 급증 여부를 함께 분석합니다.

• 즉시(긴급 차단): unprivileged_userns_clone 비활성화 (사용자 네임스페이스를 통한 커널 공격 표면 축소).
  • 명령: sysctl -w kernel.unprivileged_userns_clone=0
  • 난이도: 낮음 / 운영 영향: 일부 컨테이너 런타임 동작 제한 가능 / 검증: sysctl 값 확인 / 우선순위: 최상.
• 단기(완화): 취약한 커널 버전의 서버에 대해 비신뢰 사용자의 SSH 접근 및 로컬 쉘 권한을 엄격히 제한하고, seccomp 프로필을 적용하여 불필요한 시스템 콜 차단.
  • 난이도: 중간 / 운영 영향: 사용자 편의성 감소 / 검증: auditd 로그 확인 / 우선순위: 중.
• 근본(해결): 영향받는 커널 버전(5.13~6.13.7 등)을 최신 패치 버전으로 업데이트.
  • 난이도: 중간 / 운영 영향: 시스템 재부팅 필요 (가용성 일시 중단) / 검증: uname -r로 버전 확인 / 우선순위: 상.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었습니다. EPSS 실측값 0.00198(백분위 0.09947)은 이론적 심각도(CVSS 7.8)와 달리 실제 야생에서의 악용 가능성은 현재 매우 낮음을 시사합니다. 따라서 KEV 미등재 및 exploit=hard 조건을 반영하여 우선순위를 scheduled(이번 주 내 처리)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00198 · exploit=hard · in_scope=None