[분석가] 분석 — CVE-2025-21764

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

ndisc_alloc_skb() 가 RTNL 혹은 RCU 보호 없이 호출될 수 있는 상황에서 메모리 해제 후 재사용(UAF)이 발생합니다. 로컬 사용자는 IPv6 인접 탐색(Neighbor Discovery) 패킷을 전송하거나 처리하도록 트리거하여 커널 공간에 임의 코드를 삽입하고, 취약한 스택/힙 객체를 재활용함으로써 권한 상승 및 시스템 전체 장악이 가능합니다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 공격자가 로컬 시스템에 접근할 수 있고 복잡한 전제조건 없이 낮은 권한으로도 실행 가능함을 의미하지만, 실제로는 해당 함수 ndisc_alloc_skb() 를 호출하기 위해서는 커널 네트워크 스택에 직접 개입할 수 있는 로컬 프로세스가 필요합니다. EPSS 값이 0.00258(≈0.26 %) 로 매우 낮으며 KEV 목록에도 등재되지 않아 현재까지 야생에서 악용된 사례가 관측되지 않았음을 보여줍니다. 이 취약점은 Linux 커널의 neighbor discovery 코드에 존재하며, RCU 또는 RTNL 보호 없이 ndisc_alloc_skb() 가 호출될 경우 잠재적인 Use‑After‑Free(Use‑After‑Free) 상황이 발생합니다. 공격 표면은 주로 netlink 또는 ioctl 인터페이스를 통해 skb 를 할당하는 내부 경로에 국한되며, 원격 네트워크 프로토콜을

• 기술적 위험

  • 성공적인 악용 시 커널 레벨에서 임의 코드 실행이 가능해져 전체 시스템을 장악할 수 있습니다(Confidentiality, Integrity, Availability 모두 “High”).
  • 로컬 공격이므로 네트워크 경계 차단만으로는 방어가 어려우며, 권한이 제한된 사용자라도 특권 상승이 가능합니다.

• 비즈니스 영향

  • 시스템 가용성 상실 및 서비스 중단 위험이 존재합니다.
  • 데이터 무결성·기밀성 침해 시 규제·컴플라이언스 위반(예: 개인정보 보호법) 가능성이 있습니다.
  • 영향 제품은 Linux 커널 de09334b9326632bbf1a74bfd8b01866cbbf2f61 ≤ x < 96fc896d0e5b37c12808df797397fb16f3080879, de09334b9326632bbf1a74bfd8b01866cbbf2f6 및 Linux 3.9 버전으로, 해당 커밋 범위에 포함된 모든 배포판이 노출됩니다.

• 노출 규모

  • 다중 소스 교차검증 결과(신뢰도 1.0)로 본 취약점은 위 범위의 커널을 사용하는 서버·워크스테이션 전반에 존재합니다.

Memory‑corruption 계열인 Use‑After‑Free(UAF) 취약점으로, 동일한 RCU 보호 부재를 이용하는 다른 네트워킹 스택 결함(예: CVE‑2024‑xxxx)과 연계될 경우 초기 권한 상승 후 추가 원격 코드 실행 체이닝이 가능할 수 있습니다.

• 커널 로그에 ndisc_alloc_skb 관련 OOPS 또는 BUG 메시지가 발생하는지 모니터링합니다.

• eBPF 혹은 auditd 규칙으로 ipv6_ndisc_* 시스템 콜이 비정상적으로 빈번히 호출되는 패턴을 탐지합니다. 예시 시그니처:

  text복사

   1kernel.*ndisc_alloc_skb.*UAF

• SELinux/AppArmor 로그에서 IPv6 Neighbor Discovery와 관련된 권한 상승 시도 경고를 확인합니다.

1. 패치 적용 – upstream 커널 패치를 즉시 배포하여 ndisc_alloc_skb() 에 RCU 보호가 추가된 버전으로 업데이트합니다.
2. 임시 차단 – 패치 적용이 지연되는 경우, 영향을 받는 시스템에서 IPv6를 비활성화(sysctl -w net.ipv6.conf.all.disable_ipv6=1)하여 해당 함수 호출을 차단합니다.
3. 접근 제한 – 로컬 계정에 최소 권한 원칙을 적용하고, SELinux/AppArmor 프로파일을 강화해 커널 메모리 수정 권한을 제한합니다.
4. 감시 체계 구축 – 위 탐지 지표를 SIEM에 연동하여 실시간 알림을 설정하고, 정기적인 커널 로그 검토 절차를 마련합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None