[방어] 분석 — CVE-2026-40355

• 심각도 medium · CVSS 5.9 · EPSS 0.00611 · 악용난이도 hard

• 트리거 경로: /etc/gss/mech 파일에 NegoEx 메커니즘이 등록된 시스템에서, 애플리케이션이 gss_accept_sec_context() 함수를 호출할 때 발생합니다.
• 작동 원리: 인증 과정 중 parse_nego_message 단계에서 적절히 처리되지 않은 NULL 포인터 역참조(NULL pointer dereference)가 발생하여 해당 프로세스가 즉시 비정상 종료됩니다.
• 공격 단계: [원격 공격자] $\rightarrow$ [NegoEx 메커니즘을 유도하는 변조된 인증 패킷 전송] $\rightarrow$ [대상 서버의 parse_nego_message 실행] $\rightarrow$ [NULL 포인터 참조로 인한 Crash].

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 네트워크를 통한 원격 공격이 가능함에도 불구하고 매우 특수한 환경적 전제조건(Pre-condition)을 요구하기 때문입니다. 공격자가 gss_accept_sec_context() 함수를 호출하는 엔드포인트에 접근하여 조작된 NegoEx 메시지를 전송해야 하며, 특히 대상 시스템의 /etc/gss/mech 설정에 NegoEx 메커니즘이 명시적으로 등록되어 있어야만 트리거되는 구조입니다. CVSS 벡터상 AC:H(High Complexity)는 이러한 특정 구성 파일의 존재 여부와 정교하게 조작된 패킷 전송이라는 까다로운 조건이 결합되었음을 의미합니다. EPSS 수치가 0.00611로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 DoS 가능성에도 불구하고 실제 야생(In-the-wild)에서 악용된 사례가 드문 희귀한 케이스임을 시사합니다. 공격 표면은 GSS-API를 사용하는 네트워크 서비스의 인증 인터페이스 및 NegoEx 프로토콜 파싱 로직(parse_nego_message)에 국한됩니다. 결과적으로 인증되지 않은 외부 공격자가 프로세스를 강제 종료(Crash)시킬 수 있는 잠재력은 있으나, 타겟 시스템의 구체적인 설정 상태를 미리 알고 있어야 하므로 실제 악용 가능성은 낮습니다.

• 가용성 파괴 (DoS): 인증 프로세스가 강제 종료됨에 따라 서비스 거부 상태가 됩니다.
• SPOF 리스크: KDC(Key Distribution Center)와 같은 핵심 인증 인프라에서 발생할 경우, 도메인 내 모든 사용자의 인증 체계가 마비되는 단일 장애점(Single Point of Failure) 위험이 있습니다.
• 전략적 가용성 공격: 내부망 침투 후 횡적 이동(Lateral Movement) 단계에서 관리자의 대응 능력을 상실시키기 위한 수단으로 악용될 가능성이 있습니다.

• 유형: Memory Corruption (NULL Pointer Dereference).
• 체이닝: 단순 DoS를 넘어, 프로세스 Crash 직전의 메모리 상태나 덤프 파일을 통해 민감한 인증 정보가 유출될 가능성이 추정됩니다.

본 취약점은 일반적인 '인증 실패' 로그가 아닌 '프로세스 비정상 종료' 패턴을 추적하는 것이 핵심입니다.

• 로그 지표 및 위치:
  • OS 시스템 로그: /var/log/syslog, /var/log/messages 또는 dmesg.
  • 패턴: segfault, SIGSEGV, null pointer dereference와 함께 krb5 또는 관련 인증 프로세스 명칭이 기록됨.
• 탐지 규칙 예시:
  1. SIEM 쿼리 (의사코드):
     SELECT timestamp, hostname, process_name FROM system_logs WHERE message LIKE '%segfault%' AND message LIKE '%parse_nego_message%' AND process_name IN ('krb5kdc', 'kadmind', 'auth_app')
  2. 정규식 패턴: /(?:segfault|SIGSEGV).*?(?:parse_nego_message|krb5)/i
  3. 임계값 기반 탐지: 동일 IP에서 짧은 시간(예: 1분) 내에 인증 프로세스의 Crash 이벤트가 3회 이상 반복 발생 시 경보 생성.
• 오탐 튜닝:
  • 단순한 하드웨어 결함이나 다른 버그로 인한 Segfault와 구분하기 위해, 반드시 parse_nego_message 함수 호출 스택이 포함되었는지 확인해야 합니다.
  • 정기적인 시스템 업데이트나 재시작 시 발생하는 일시적 종료 로그는 제외 처리합니다.

본 분석은 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00611(백분위 0.45806) 및 CVSS 5.9를 근거로 우선순위를 monitor로 결정했습니다. 다만, KDC의 SPOF 특성을 고려하여 다음과 같이 대응합니다.

• 즉시 (긴급 차단):
  • 조치: /etc/gss/mech 파일에서 NegoEx 메커니즘 설정을 제거하거나 주석 처리하여 해당 기능을 비활성화합니다.
  • 난이도/영향/검증: [낮음] / [NegoEx 기반 인증 불가] / cat /etc/gss/mech 확인 및 재시작 후 동작 테스트. (최우선 적용 권고)
• 단기 (완화):
  • 조치: KDC 및 관련 인증 서버 앞단에 ACL(Access Control List)을 설정하여 신뢰할 수 없는 IP의 접근을 차단하고, 외부 노출을 최소화합니다.
  • 난이도/영향/검증: [낮음] / [정상 사용자 접속 제약 가능성] / netstat 또는 방화벽 로그를 통해 비인가 IP 차단 확인.
• 근본 (해결):
  • 조치: MIT Kerberos 5 버전을 1.22.3 이상으로 업그레이드합니다.
  • 난이도/영향/검증: [중간] / [서비스 일시 중단 및 재기동 필요] / krb5-ticket 또는 패키지 매니저를 통해 버전 1.22.3 이상 설치 확인.

잔여 리스크: 패치 이후에도 NegoEx 외의 다른 메커니즘에서 유사한 NULL 포인터 역참조 취약점이 존재할 가능성이 있으므로, 지속적인 프로세스 Crash 모니터링이 필요합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.9 · non-KEV · EPSS=0.00611 · exploit=hard · in_scope=None