[방어] 분석 — CVE-2026-23030

• 심각도 미상 · CVSS 미상 · EPSS 0.00217 · 악용난이도 hard

(1) 트리거 조건: Linux 커널의 rockchip_usb2phy_probe() 함수 실행 중, for_each_available_child_of_node() 루프 내에서 of_node_put()이 호출되어 자식 노드가 해제된 상태에서 devm_request_threaded_irq()가 실패할 경우, put_child 레이블로 점프하여 동일한 노드에 대해 of_node_put()을 한 번 더 호출함으로써 발생함.
(2) 공격 단계:

• 정찰 및 초기접근: 하드웨어 드라이버 수준의 취약점으로, 로컬 권한 또는 특정 USB 장치 삽입/제어 권한이 필요함.
• 실행 및 영향: 커널 메모리 상에서 Double Free를 유발하여 커널 패닉(Kernel Panic)을 일으키거나 추정: 힙 스프레이(Heap Spraying) 기법을 통해 임의 코드 실행 또는 권한 상승을 시도함.
• 관측 지표: dmesg 또는 /var/log/kern.log 내의 Kernel Oops, Slab corruption 관련 에러 메시지.
  (3) 공격 표면: Rockchip USB2 PHY 드라이버가 탑재된 Linux 기반 임베디드 장치의 커널 메모리 관리 영역.
  (4) CVSS 벡터 연결: 추정: AV:L/AC:H/PR:L/UI:N (로컬 접근 필요, 하드웨어 상태 및 타이밍에 따른 높은 공격 복잡도).

악용 가능성: 본 취약점은 Linux 커널의 Rockchip USB2 PHY 드라이버 내 rockchip_usb2phy_probe() 함수에서 발생하는 Double Free 취약점으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 로컬 권한(PR:L) 또는 물리적 접근이 전제되어야 하며, 특히 특정 하드웨어 플랫폼(Rockchip SoC)의 드라이버가 로드되는 커널 초기화 단계나 장치 프로빙 과정에서만 트리거된다는 점이 공격 진입장벽을 높입니다. 공격 표면은 of_node_put() 함수가 중복 호출되는 커널 내부 메모리 관리 영역이며, 구체적으로는 IRQ 요청 실패 시 발생하는 예외 처리 경로가 트리거 포인트입니다. EPSS 수치가 0.00217로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점을 이용한 실제 야생(In-the-wild) 공격 사례가 희박함을 시사합니다. 따라서 이론적인 메모리 오염 심각도와는 별개로, 특정 하드웨어 환경과 정밀한 타이밍 제어가 필요하므로 일반적인 서버 환경에서의 즉각적인 악용 가능성은 낮습니다.

(1) 기술적 위험: Double Free로 인한 커널 메모리 오염. 이는 즉각적인 시스템 크래시(DoS)를 유발하거나, 정교한 조작 시 커널 권한의 임의 코드 실행으로 이어질 수 있음.
(2) 비즈니스 영향: 해당 칩셋을 사용하는 임베디드 기기의 가용성 중단. 산업용 제어기나 IoT 단말기일 경우 서비스 중단 및 하드웨어 재부팅 필요로 인한 운영 효율 저하.

• 유형: CWE-415 (Double Free).
• 체이닝 패턴: 추정: [메모리 오염(Double Free)] $\rightarrow$ [커널 힙 구조 조작] $\rightarrow$ [권한 상승(Privilege Escalation) 또는 RCE]. 일반적인 커널 메모리 취약점은 단독으로 쓰이기보다 정보 유출(KASLR 우회) 취약점과 체이닝되어 공격 성공률을 높이는 패턴을 보임.

(1) 로그 지표: Linux Kernel Log (dmesg) 내 kfree(): double free 또는 slab_corruption 관련 문자열 확인.
(2) 탐지 규칙 예시:

• SIEM 의사코드:
  SELECT timestamp, hostname, message FROM kernel_logs WHERE message MATCHES '/(double free|slab corruption|General protection fault)/' AND message CONTAINS 'rockchip_usb2phy'
• 정규식 패턴: /(?:double\s+free|slab\s+corruption).*rockchip_usb2phy/i
  (3) 오탐 튜닝: 하드웨어 결함이나 다른 드라이버의 메모리 오류로 인한 유사 로그가 발생할 수 있음. 반드시 rockchip_usb2phy 모듈 이름이 함께 식별되는지 확인하여 범위를 좁힘.

• 즉시(긴급 차단): 취약한 USB PHY 기능을 사용하지 않는 경우, 해당 커널 모듈을 블랙리스트에 추가하여 로드되지 않도록 설정. (난이도: 하 / 영향: USB2 기능 불가 / 검증: lsmod | grep rockchip_usb2phy 결과 없음 확인)
• 단기(완화): 불필요한 물리적 USB 포트 접근 제한 및 신뢰되지 않은 장치 연결 금지. (난이도: 하 / 영향: 사용자 편의성 저하 / 검증: 물리적 포트 봉인 또는 관리 정책 적용)
• 근본(해결): of_node_put() 중복 호출을 방지하도록 수정된 최신 Linux 커널 버전으로 업데이트 및 패치 적용. (난이도: 중 / 영향: 시스템 재부팅 필요 / 검증: 패치된 커밋 반영 여부 확인)

[파이프라인 근거]

• 교차검증: 제공된 사실 기반 다중 소스에서 rockchip_usb2phy_probe() 내 Double Free 발생 원인과 수정 방식에 대해 일관성이 확인됨.
• EPSS: 실측값 0.00217(백분위 0.12101)은 현재 실제 야생(Wild)에서 악용될 확률이 매우 낮음을 의미하며, 이는 이론적 심각도와 별개로 즉시 대응보다는 모니터링 우선순위를 갖게 함.
• 우선순위 결정: CVSS 미상, KEV 미등재, 낮은 EPSS 수치 및 공격 난이도(hard)를 근거로 'monitor' 등급으로 결정함.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00217 · exploit=hard · in_scope=None