[단독분석] 분석 — CVE-2026-23457

• 심각도 high · CVSS 8.6 · EPSS 0.00433 · 악용난이도 moderate

공격자는 TCP 기반 SIP 트래픽에 Content‑Length 값을 UINT_MAX(4,294,967,295) 보다 크게 설정해 전송합니다. nf_conntrack_sip 의 sip_help_tcp() 가 simple_strtoul() 의 반환값을 unsigned int 에 저장하면서 64‑bit 환경에서 값이 잘려 32 와 같이 작은 수가 되므로 메시지 경계가 오판됩니다. 이후 파서는 남은 데이터를 두 번째 SIP 메시지로 인식하고, 이를 SDP 파서에 전달해 비정상적인 처리 흐름을 야기합니다. 이 과정에서 서비스 거부(DoS) 혹은 downstream SDP 파서의 취약점을 이용한 원격 코드 실행이 가능할 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서(AV = Network) 접근할 수 있으며, 복잡도가 낮아(Low) 특별한 사전 지식 없이도 공격을 시도할 수 있습니다(PR = None, UI = None). 따라서 공격자는 SIP 트래픽을 처리하는 어떤 Linux 커널 기반 시스템이라도 직접 패킷을 전송해 Content‑Length 값을 2³² + 32와 같이 UINT_MAX를 초과하도록 조작하면, 값이 32로 잘려 메시지 경계가 오판되어 뒤이어 SDP 파서까지 흐르게 됩니다. 이 과정에서 메모리 손상이나 서비스 거부(DoS) 등으로 이어질 수 있으며, 원격 코드 실행 가능성도 존재합니다. EPSS = 0.00433이라는 실측 확률은 낮지만 완전히 배제되지 않으며, 과거 유사한 SIP 파서 취약점이 실제 악용된 사례가 있기에 위험도가 이론적 점수와 별개로 의미 있습니다. 다만 KEV(Known Exploited Vulnerabilities) 리스트에 등재되지 않아 현재까지 공개적으로 확인된 악성 코드나 공격 캠페인은 보고되지 않았습니다. 공격 표면은 SIP / TCP를 수신하는 모든 엔드포인트—예컨대 VoIP 서버, SBC, 프록시 등—와 해당 파라미터(Content‑Length)이며, 이들 서비스가 노출된 네트워크 환경이면 누구나 대상이 될 수 있습니다. 따라서 방어자는 해당 커널 패치를 적용하고, SIP 트래픽에 대한 입력 검증을 강화하는 것이 시급합니다.

• 기술적 위험: Content‑Length 값 초과로 인한 메시지 경계 오류 → 잘못된 SIP/SDP 파싱 → 커널 수준에서 비정상적인 메모리 접근 또는 후속 파서 취약점 악용 가능성. 주된 결과는 서비스 거부와 잠재적 원격 코드 실행입니다.
• 비즈니스 리스크: VoIP·통신 서버, SIP‑기반 PBX, 클라우드 네트워크 게이트웨이 등에서 가용성 저하가 발생할 수 있으며, 서비스 중단은 SLA 위반 및 고객 신뢰도 하락을 초래합니다. 또한, 통신 데이터 처리에 대한 규제(예: GDPR·PCI DSS) 준수 여부를 검증받는 환경에서는 비정상적인 트래픽 로그가 감사 대상이 될 수 있습니다.
• 영향 제품·노출 규모: Linux kernel 2.6.34‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 등 8개 이상의 주요 커널 라인에 존재합니다([교차검증] 다중 소스에서 일관성이 확인됨). 따라서 대부분의 Linux 배포판 및 컨테이너 이미지가 영향을 받을 가능성이 높습니다.

• 동일한 netfilter nf_conntrack 구조를 사용하는 다른 프로토콜 헬퍼(예: nf_conntrack_ftp)에서도 파싱 오류가 보고된 바 있어, 유사한 로직 결함을 이용한 체이닝 위험이 존재합니다.
• SIP/SDP 파서 자체에 별도 취약점(CVE‑XXXX‑YYYY 등)이 존재한다면, 본 버그를 트리거하여 해당 취약점을 연계 공격할 수 있습니다(구체적인 CVE 번호는 확인되지 않음).

• 커널 로그: nf_conntrack_sip 모듈이 “invalid Content‑Length” 혹은 “truncated length”와 같은 경고를 기록하는 경우.
• 네트워크 IDS/IPS: SIP 패킷에서 Content‑Length:\s*(\d{10,}) (10자리 이상) 를 탐지하고, 해당 값이 4294967295 (=UINT_MAX)를 초과하면 알림 생성.
• 시스템 콜 모니터링: sys_enter_recvmsg 또는 tcp_recvmsg 에 비정상적으로 큰 페이로드가 연속해서 도착하는 패턴을 추적합니다.

1. 패치 적용: 공식 Linux kernel 릴리즈(해당 버전 이상)로 업데이트하거나, 제공된 커밋(netfilter/nf_conntrack_sip: fix Content‑Length u32 truncation)을 백포트하여 적용합니다.
2. 모듈 비활성화: SIP 트래픽이 필요 없을 경우 /sys/module/nf_conntrack_sip/parameters/enable=0 또는 modprobe -r nf_conntrack_sip 로 해당 헬퍼를 차단합니다.
3. 네트워크 방어: 방화벽에서 SIP(UDP/TCP 5060, 5061) 트래픽을 제한하거나, Content‑Length 값이 4GB 이상을 초과하는 패킷을 드롭하도록 ACL을 설정합니다.
4. 모니터링 강화: 위 탐지 지표를 SIEM에 연동하여 실시간 알림을 구성하고, 이상 징후 발생 시 즉시 트래픽 차단 절차를 실행합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.6 · non-KEV · EPSS=0.00433 · exploit=moderate · in_scope=None