[분석가] 분석 — CVE-2026-23087

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 취약점 원리: scsiback_probe() 함수에서 할당된 struct vscsiblk_info 메모리가 scsiback_remove() 과정 및 scsiback_probe() 내 에러 경로에서 적절히 해제되지 않는 Memory Leak 취약점입니다.
• 공격 경로: 공격자는 로컬 권한(PR:L)을 가진 상태에서 해당 드라이버의 프로브/리무브 과정을 반복적으로 유도하여 커널 메모리를 점진적으로 고갈시킬 수 있습니다.
• 단계: [로컬 권한 획득] $\rightarrow$ [scsiback 관련 장치 조작/제거 반복] $\rightarrow$ [커널 메모리 누적] $\rightarrow$ [시스템 자원 고갈].

악용 가능성: 본 취약점은 Linux kernel의 scsiback 모듈 내 메모리 누수(Memory Leak) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 따라, 공격자는 시스템에 대한 로컬 접근 권한(AV:L)과 최소 수준의 사용자 권한(PR:L)을 이미 확보한 상태여야 하며, 별도의 사용자 상호작용 없이 트리거가 가능합니다. 주요 공격 표면은 Xen 가상화 환경의 SCSI 백엔드 드라이버이며, 구체적으로는 scsiback_probe()와 scsiback_remove() 함수 간의 메모리 해제 누락 지점이 트리거 포인트입니다. EPSS 수치가 0.00123으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 현재 야생(In-the-wild)에서 이 결함을 이용한 실제 공격 사례가 관측되지 않았음을 시사합니다. 따라서 이론적인 심각도와 달리 실질적인 악용 가능성은 낮으나, 권한을 가진 내부자가 가상 머신 장치를 반복적으로 생성 및 제거하여 커널 메모리를 고갈시키는 DoS(Denial of Service) 형태로 악용될 수 있는 구조입니다.

• 기술적 위험: 본 취약점은 기밀성(C)이나 무결성(I)에 영향을 주지 않으며, 가용성(A:H)에 집중된 리스크를 가집니다. 메모리 누적이 임계치에 도달할 경우 커널 패닉(Kernel Panic) 또는 시스템 응답 불능 상태의 Denial of Service(DoS)가 발생할 수 있습니다.
• 비즈니스 리스크: Xen 하이퍼바이저 환경에서 동작하는 Linux 커널 기반 가상화 인프라의 가용성이 저해될 수 있으며, 이는 서비스 중단으로 이어져 SLA 미준수 및 운영 신뢰도 하락을 초래합니다.
• 노출 규모: 영향 제품군이 Linux Kernel 3.18부터 6.18.8까지 광범위하게 분포되어 있어, 다양한 배포판과 레거시 시스템에서 잠재적 노출 가능성이 높습니다.

• 유형 및 패턴: 전형적인 커널 내 자원 관리 미흡(Resource Management Error) 패턴입니다. 단독으로는 권한 상승이나 데이터 유출이 불가능하나, 다른 로컬 권한 상승 취약점과 체이닝되어 시스템 불안정성을 극대화하는 보조 수단으로 활용될 가능성이 추정됩니다.

• 메모리 모니터링: slabtop 또는 /proc/meminfo를 통해 커널 메모리 사용량이 비정상적으로 지속 증가하는지 확인합니다.
• 로그 분석: Xen scsiback 관련 장치의 빈번한 제거 및 재연결 이벤트가 발생하는지 시스템 로그(dmesg, syslog)를 모니터링합니다.
• 패턴 예시: scsiback 드라이버 로드/언로드와 관련된 반복적인 커널 메시지 패턴을 추적합니다.

• 근본 해결: 영향 범위에 포함된 Linux Kernel 버전을 최신 패치 버전으로 업데이트하여 scsiback_remove() 내 메모리 해제 로직이 적용된 수정본을 반영하십시오.
• 즉시 조치: 패치가 불가능한 환경에서는 신뢰되지 않은 사용자의 로컬 접근 권한을 제한하고, Xen scsiback 컴포넌트의 불필요한 사용을 억제합니다.
• 우선순위 근거: 다중 소스 데이터 일관성이 확인(신뢰도 1.0)되었으나, EPSS 수치가 0.00123으로 매우 낮고 CVSS 5.5(Medium), AV:L(Local) 및 exploit=hard 조건에 따라 즉각적인 대응보다는 'monitor' 수준의 우선순위가 결정되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None