[분석가] 분석 — CVE-2025-21707

• 심각도 critical · CVSS 9.8 · EPSS 0.00466 · 악용난이도 moderate

• 공격자는 MPTCP 서브옵션을 조작한 TCP 패킷을 전송해 mptcp_incoming_options() 경로를 호출합니다.
• 파싱 과정에서 일부 비트필드가 초기화되지 않아 커널이 uninitialized value 를 사용하게 되고, KMSAN 경고와 함께 커널 OOPS(패닉) 또는 메모리 오염을 유발할 수 있습니다.
• 네트워크 접근만 있으면 (AV:N, PR:N, UI:N) 트리거가 가능하나, 성공하려면 MPTCP가 활성화된 시스템이어야 합니다.

악용 가능성: 이 취약점의 CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 네트워크를 통한 원격 접근만으로도 공격을 시도할 수 있으며, 공격 복잡도가 낮고 권한이나 사용자 상호작용이 필요 없음을 의미합니다. 그러나 실제 악용을 위해서는 MPTCP 옵션 협상 단계에서 특수하게 조작된 TCP 패킷을 전송해야 하며, 해당 커널 버전에서 MPTCP가 활성화돼 있어야 합니다. 즉, 공격 표면은 Linux 커널의 mptcp 코드가 노출되는 네트워크 인터페이스와 TCP 옵션 파라미터이며, 일반적인 TCP 서비스만으로는 트리거되지 않습니다. EPSS 값이 0.00466으로 매우 낮아 현재까지 관측된 실제 공격 사례가 거의 없으며, KEV에 등재되지 않은 점은 야생에서 악용될 가능성이 제한적임을 뒷받침합니다. 이러한 근거로 취약점은 moderate 등급으로 평가되며, 원격에서 비교적 낮은 난이도로 시도할 수 있지만 성공 확률과 피해 규모가 제한적인 편입니다. 따라서 방어자는 해당 커널 버전의 패치를 적용하거나 MPTCP 기능을 비활성화하는 것이 실질적인 위험 감소에 가장 효과적일 것입니다.

• 기술적 위험
  • 커널 패닉 → 서비스 중단(DoS).
  • 추정: 메모리 오염이 성공하면 권한 상승 또는 원격 코드 실행이 가능할 수 있습니다. (실제 악용 사례는 현재 미관측)
• 비즈니스 리스크
  • 가용성 손실로 인한 SLA 위반·서비스 차질.
  • 핵심 인프라가 다운될 경우 규제·컴플라이언스 위반에 따른 벌금·신뢰도 저하 위험.
• 영향 제품 및 노출 규모
  • Linux kernel 5.11‑6.1.129, 6.2‑6.6.76, 6.7‑6.12.13, 6.13‑6.13.2 전 버전(다중 배포판)에서 영향을 받음.
  • 다중 소스에서 일관성이 확인돼(교차검증) 광범위한 서버·컨테이너 환경에 노출될 가능성이 높습니다.

• 동일한 MPTCP 파싱 로직을 이용하는 다른 커널 메모리 오염 버그와 연계하면, 초기화 오류를 활용해 권한 상승 체인으로 확장될 수 있습니다(구체적 CVE 번호는 확인되지 않음).

• 시스템 로그에 KMSAN: uninit-value 와 함께 net/mptcp/options.c 라인 1030, 1060, 1209 등의 스택 트레이스가 기록되는 경우.
• IDS/IPS에서 TCP 옵션 번호 30(MPTCP) 의 비정상적인 길이·값 조합을 탐지하는 서명 적용.
• auditd 로 setsockopt 에서 MPTCP 관련 옵션(TCP_MPTCP_*) 변경 시도를 모니터링.

• 즉시
  • 공급업체가 제공한 패치가 포함된 커널(5.11‑6.13.2 이후)으로 업데이트.
  • MPTCP 비활성화: sysctl net.mptcp.enabled=0 또는 방화벽에서 TCP 옵션 30 차단.
• 보조 조치 (패치 적용 전까지 추가 보호)
  • MPTCP 모듈이 로드된 경우 언로드(rmmod mptcp).
  • SELinux를 enforcing 모드로 운영하여 비정상적인 커널 호출을 제한(완전 차단은 아님).
• 장기
  • 정기적인 커널 업데이트와 보안 패치 적용 프로세스 강화.

우선순위 판단 근거: CVSS 9.8·Critical, EPSS 0.00466(백분위 0.37959)로 실제 악용 가능성은 낮지만 위험도가 매우 높으며, KEV에 등재되지 않았음에도 다수 버전 영향을 받아 규칙 기반 “scheduled (이번 주 내)” 대응이 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00466 · exploit=moderate · in_scope=None