[공격] 분석 — CVE-2025-22055

• 심각도 medium · CVSS 5.5 · EPSS 0.002 · 악용난이도 hard

(1) 트리거 조건

• struct geneve_opt는 옵션 길이를 위해 5비트 필드를 사용하며, 최대 허용 크기는 127바이트임.
• 공격자가 정확히 128바이트 크기의 옵션을 주입하면, 정수 오버플로우(Integer Overflow)가 발생하여 길이가 0으로 인식됨.
• 파싱 로직이 이를 '길이가 0인 옵션'으로 오인하여 처리하는 과정에서 Heap Out-of-Bounds (OOB) Read가 유발됨.

(2) 공격 단계 및 전제조건

• 정찰: 대상 시스템의 커널 버전 확인 및 Geneve 프로토콜 활성화 여부 파악.
• 초기 접근: 로컬 사용자 권한 획득 필요 (PR:L).
• 실행/권한 획득: Netlink 인터페이스를 통해 조작된 geneve_opt 길이 값을 가진 정책을 주입 $\rightarrow$ 커널 내 OOB Read 트리거 $\rightarrow$ 추정: 커널 메모리 내 민감 정보 유출 또는 KASAN crash 유발.
• 영향: 시스템 크래시(DoS) 또는 메모리 릭을 통한 추가 공격 기반 마련.

(3) 공격 표면

• 프로토콜/엔드포인트: Linux Kernel Network Stack $\rightarrow$ Geneve (Generic Network Virtualization Encapsulation) 옵션 처리 로직.
• 파라미터: Netlink를 통해 설정되는 geneve_opt의 length 필드.

(4) CVSS 벡터 분석 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)

• AV:L / PR:L: 네트워크를 통한 원격 공격이 아닌, 시스템에 이미 접근 권한을 가진 로컬 사용자가 Netlink 정책을 수정할 수 있는 권한이 있어야 함.
• AC:L: 조건(128바이트 주입)이 단순하여 공격 난이도가 낮음.
• A:H: OOB Read로 인한 커널 패닉 및 시스템 가용성 상실 가능성이 높음.

악용 가능성: 본 취약점은 Linux Kernel의 Geneve 프로토콜 옵션 처리 과정에서 발생하는 Integer Overflow 기반의 Heap Out-of-Bounds Read 결함입니다. 공격 표면은 net: geneve_opt 관련 Netlink 인터페이스로, 공격자가 특수하게 조작된 128바이트 크기의 옵션을 주입하여 파싱 로직을 기만하고 제로 길이(zero length) 옵션으로 오인하게 만드는 것이 트리거 조건입니다. CVSS 벡터상 AV:L 및 PR:L은 공격자가 이미 시스템에 낮은 권한의 계정으로 접근하여 Netlink 소켓을 통해 커널에 메시지를 보낼 수 있는 상태여야 함을 의미하며, 이는 원격 공격보다는 로컬 권한 상승(LPE) 시나리오에 가깝습니다. EPSS 수치가 0.002로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서 자동화된 익스플로잇이 활발히 유포되고 있지 않음을 시사합니다. 하지만 커널 메모리 영역의 데이터를 임의로 읽을 수 있는 OOB Read 특성상, KASLR 우회나 다른 메모리 손상 취약점과 체이닝될 경우 실질적인 권한 상승으로 이어질 가능성이 존재합니다. 따라서 공격 난이도는 hard로 판정되나, 로컬 접근 권한을 가진 공격자에게는 커널 내부 정보를 유출할 수 있는 유효한 벡터가 됩니다.

(1) 기술적 위험

• 서비스 중단 (DoS): KASAN 로그에서 확인되듯 slab-out-of-bounds 발생 시 커널 패닉으로 인해 시스템이 즉시 정지됨.
• 정보 유출: OOB Read를 통해 힙 영역의 인접한 커널 메모리 데이터를 읽을 수 있어, 추정: KASLR 우회를 위한 커널 주소 유출 가능성이 있음.

(2) 비즈니스 영향

• 가용성 저하: 클라우드/가상화 환경에서 Geneve를 사용하는 호스트 OS의 경우, 단일 노드의 다운이 다수 가상 머신(VM)의 서비스 중단으로 이어짐.
• 컴플라이언스: 로컬 권한 상승 및 커널 취약점 방치 시 보안 감사 지적 사항이 될 수 있음.

• 체이닝 경로: Local Access $\rightarrow$ Integer Overflow (CVE-2025-22055) $\rightarrow$ Heap OOB Read $\rightarrow$ Information Leak (KASLR Bypass) $\rightarrow$ Privilege Escalation.
• 유형 분석: 본 취약점은 단독으로 RCE를 일으키지는 않으나, 커널 메모리 레이아웃을 파악하게 해주는 '정보 유출' 단계로 활용될 가능성이 높음. 추정: 다른 Write-primitive 취약점과 체이닝될 경우 완전한 권한 상승(LPE)으로 이어질 수 있는 전형적인 패턴임.

(1) 로그 지표

• dmesg 또는 /var/log/syslog 내 BUG: KASAN: slab-out-of-bounds in nla_put 또는 geneve_opt 관련 커널 패닉 로그 발생.

(2) 탐지 규칙 예시

• SIEM/Auditd 로직: Netlink를 통한 네트워크 설정 변경 시, Geneve 옵션의 길이가 비정상적으로 크거나(128바이트 경계값) 반복적인 커널 덤프가 발생하는 패턴 감시.
• 의사코드: IF (event == NETLINK_MSG && protocol == GENEVE && opt_len == 128) THEN ALERT("Potential CVE-2025-22055 Trigger");

(3) 오탐 시나리오 및 튜닝

• 오탐: 정상적인 네트워크 가상화 설정 도구가 대량의 옵션을 설정하는 경우.
• 튜닝: 단순 설정 변경이 아닌, 짧은 시간 내에 동일한 엔드포인트에서 반복적으로 커널 크래시/워닝 로그가 발생하는지 상관분석 수행.

• 즉시 (긴급 차단): 일반 사용자의 Netlink 네트워크 설정 권한을 제한하고, 불필요한 Geneve 모듈 로드를 방지 (modprobe -r geneve). [난이도: 하 / 영향: 중(기능 제약)]
• 단기 (완화): 커널 런타임 보호 도구(KASAN 등)를 활성화하여 비정상 메모리 접근 시 즉시 알람을 받도록 설정. [난이도: 중 / 영향: 하(성능 저하 가능성)]
• 근본 (해결): 영향받는 커널 버전(4.19 ~ 6.14)에서 해당 패치가 적용된 최신 안정 버전으로 업데이트. [난이도: 상 / 영향: 중(재부팅 필요)]

[파이프라인 근거] 본 분석은 다중 소스 간 일관성이 확인된 데이터를 기반으로 하며, 실측 EPSS 0.002 및 AV:L/PR:L 조건을 근거로 실제 악용 난이도를 hard로 판단하여 우선순위를 monitor로 결정함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.002 · exploit=hard · in_scope=None