[공격] 분석 — CVE-2025-71189

• 심각도 medium · CVSS 5.5 · EPSS 0.00183 · 악용난이도 hard

(1) 트리거 조건: dmamux에서 route 할당 실패 시, 이미 참조된 DMA master OF node의 reference를 적절히 해제하지 않는 결함입니다. 특정 하드웨어 구성이나 드라이버 로드 과정에서 route 할당 실패를 반복적으로 유도하면 커널 메모리 내에 OF node leak이 누적됩니다.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 확인 및 dw DMA engine/mux 사용 여부 확인.
• 초기 접근: Local User 권한 획득 (AV:L, PR:L).
• 실행: DMA route 할당 실패를 유발하는 특정 드라이버 조작 또는 설정 요청을 반복적으로 수행.
• 영향: 커널 메모리(Slab/Slub) 내 OF node 참조 카운트가 계속 증가하여 메모리 고갈 발생 $\rightarrow$ 시스템 패닉 또는 서비스 중단(DoS).

(3) 공격 표면: Linux kernel의 dmaengine 서브시스템, 특히 DesignWare (dw) DMA mux 관련 드라이버 인터페이스.

(4) CVSS 벡터 분석:

• AV:L / PR:L: 원격 공격은 불가능하며, 이미 시스템에 로그인한 낮은 권한의 사용자가 커널 API나 특정 디바이스 노드에 접근할 수 있어야 합니다.
• AC:L: 조건이 충족되면 특별한 복잡성 없이 leak을 유도할 수 있습니다.
• UI:N: 사용자 상호작용이 필요 없습니다.

악용 가능성: 본 취약점은 AV:L 및 PR:L 조건으로 인해 로컬 권한을 가진 공격자가 커널 내부의 리소스 누수를 유발해야 하므로 공격 난이도는 Hard로 판정됩니다. 공격 표면은 Linux kernel의 dmaengine 내 dw: dmamux 모듈이며, 구체적으로는 DMA route 할당 실패 시 발생하는 OF(Open Firmware) node의 reference leak 지점이 트리거 포인트입니다. EPSS 수치가 0.00183으로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 결함을 이용한 실전 무기화 사례가 드물며, 단순한 메모리 누수만으로는 즉각적인 RCE나 LPE로 이어지기 어렵다는 이론적 배경을 뒷받침합니다. 그러나 공격자는 특정 하드웨어 구성이나 드라이버 인터페이스를 통해 의도적으로 route 할당 실패 상황을 반복 생성함으로써 커널 메모리를 고갈시키는 DoS(Denial of Service) 공격을 시도할 수 있습니다. 실질적인 악용 가능성은 단독 공격보다는, 누수된 리소스를 이용해 커널 힙의 레이아웃을 조작하는 Heap Spraying 기법과 체이닝하여 다른 메모리 오염 취약점의 실행 가능성을 높이는 보조 수단으로 활용될 때 극대화됩니다. 결과적으로 외부 노출 엔드포인트가 없는 커널 내부 로직 결함이므로, 초기 접근 권한을 확보한 공격자가 시스템 가용성을 저해하거나 권한 상승을 위한 메모리 상태를 설계하는 정밀한 단계에서 악용될 위험이 있습니다.

(1) 기술적 위험: 커널 메모리 누수로 인한 시스템 가용성 상실. 지속적인 leak 발생 시 OOM(Out of Memory) Killer가 동작하거나 커널 패닉으로 인해 시스템이 완전히 정지되는 Denial of Service(DoS)가 발생합니다.
(2) 비즈니스 영향: 임베디드 장비나 서버의 가동 중단으로 인한 서비스 불능 상태 초래. 다만, 로컬 권한이 필요하므로 외부 노출 서비스보다는 내부 침투 후 시스템 파괴 단계에서 위험합니다.

• 추정: 단독으로는 DoS에 그치지만, 메모리 레이아웃을 조작하는 Heap Spraying 기법과 결합될 경우 다른 커널 메모리 손상(Memory Corruption) 취약점의 공격 성공률을 높이는 보조 수단으로 활용될 가능성이 있습니다.
• 추정: '리소스 누수 $\rightarrow$ 커널 패닉' 경로 외에, 특정 조건에서 잘못된 참조가 남는 점을 이용해 Use-After-Free(UAF) 유형의 취약점으로 전이될 가능성을 검토해야 합니다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log에서 DMA 관련 할당 실패 메시지와 함께 메모리 부족 경고(Out of memory, slab leak) 패턴 확인.
(2) 탐지 규칙 예시:

• 로직: dmesg 내 "dmamux" 및 "allocation failure" 키워드가 단시간 내에 임계치 이상으로 반복 발생하고, 동시에 Slab 메모리 사용량이 급증하는 경우.
• 패턴: /dmamux:.*route allocation failed/ (정규식)
  (3) 오탐 시나리오: 하드웨어 결함이나 잘못된 드라이버 설정으로 인해 정상적인 부팅 과정에서 일시적으로 발생할 수 있습니다. 특정 사용자 계정이 반복적으로 해당 동작을 유발하는지 추적하여 튜닝해야 합니다.

• 즉시(긴급 차단): 불필요한 로컬 사용자의 커널 인터페이스 접근 제한 및 비특권 사용자의 디바이스 노드 접근 권한 최소화 (난이도: 하 / 영향: 낮음 / 검증: ls -l 권한 확인).
• 단기(완화): 시스템 모니터링 도구를 통해 Slab 메모리 사용량을 감시하고, 이상 징후 시 프로세스 재시작 또는 리부팅 스케줄링 (난이도: 중 / 영향: 가용성 일시 저하 / 검증: Prometheus/Grafana 대시보드).
• 근본(해결): Linux kernel을 수정 버전(5.19.1~6.18.7 범위 내 패치된 최신 릴리스)으로 업데이트 (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r 및 커널 체인지로그 확인).

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된(신뢰도 1.0) 사실을 바탕으로 작성되었습니다. 실측 EPSS 값인 0.00183과 낮은 백분위(0.08078), AV:L/PR:L 조건 및 KEV 미등재 사실을 근거로 실제 악용 난이도를 'hard'로 판단하였으며, 이에 따라 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00183 · exploit=hard · in_scope=None