[방어] 분석 — CVE-2025-21760

• 심각도 high · CVSS 7.8 · EPSS 0.095 · 악용난이도 moderate

1. 트리거 조건: ndisc_send_skb() 함수가 RTNL(Routing Table Netlink) 락이나 RCU(Read-Copy Update) 보호 없이 호출될 때 발생합니다. 특정 네트워크 상태 변화 시점에 dev_net_rcu()를 통해 네트워크 장치에 접근하려 하면, 이미 해제된 메모리를 참조하는 Use-After-Free(UAF)가 트리거됩니다.
2. 공격 단계:
   • 초기 접근: 공격자는 시스템의 로컬 계정 권한(PR:L)을 획득해야 합니다.
   • 실행/권한 획득: 네트워크 인터페이스의 상태를 급격히 변경하거나 특정 IPv6 Neighbor Discovery(ND) 패킷을 유도하여 ndisc_send_skb() 내의 race condition을 유발합니다. 이를 통해 커널 메모리 영역의 제어권을 획득하고 권한 상승(LPE)을 시도합니다.
   • 영향: 커널 패닉으로 인한 DoS 또는 임의 코드 실행을 통한 Root 권한 획득이 가능합니다.
3. 공격 표면: Linux Kernel 내 ndisc 모듈 및 IPv6 Neighbor Discovery 프로토콜 스택.
4. CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(복잡도 낮음), PR:L(낮은 수준의 권한 필요) 조건이 결합되어, 이미 시스템에 진입한 내부 사용자나 제한된 셸을 가진 공격자가 커널 권한을 탈취하는 시나리오에 해당합니다.

악용 가능성: 본 취약점의 공격 난이도는 낮으나, 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해 공격자가 이미 시스템에 로그인하여 로컬 권한을 획득한 상태여야 하며, 네트워크 인터페이스 제어와 관련된 커널 함수(ndisc_send_skb)에 접근 가능한 환경이 전제되어야 합니다. AC:L과 UI:N은 일단 조건이 충족되면 사용자 상호작용 없이 낮은 복잡도로 트리거가 가능함을 의미합니다. 공격 표면은 Linux 커널의 NDP(Neighbor Discovery Protocol) 처리 로직 및 관련 네트워크 소켓 인터페이스이며, RCU 락 미적용 구간에서 발생하는 UAF(Use-After-Free) 메모리 오염을 통해 권한 상승이나 시스템 크래시를 유도할 수 있습니다. EPSS 수치는 0.095로 이론적 위험 대비 실제 공격 시도는 낮은 편이며, KEV에 등재되지 않은 점은 현재까지 야생(In-the-wild)에서 광범위하게 악용된 사례가 확인되지 않았음을 뒷받침합니다. 결과적으로 로컬 접근 권한을 가진 내부 위협이나 이미 침투한 공격자가 권한을 상승시키기 위해 시도할 수 있는 전형적인 Local Privilege Escalation 경로의 특성을 가집니다.

1. 기술적 위험: Memory-Corruption(UAF)으로 인해 커널 메모리가 오염됩니다. 이는 시스템 크래시(Kernel Panic)로 인한 서비스 중단이나, 정교한 페이로드 주입 시 커널 모드에서의 임의 코드 실행 및 완전한 시스템 장악으로 이어질 수 있습니다.
2. 비즈니스 영향: 서버 가용성 상실 및 데이터 무결성 훼손 위험이 있습니다. 특히 다중 사용자 환경(Shared Hosting, Container Host)에서 일반 사용자가 호스트 커널 권한을 획득할 경우 전체 인프라로의 위협 확산 가능성이 존재합니다.

• 추정 체이닝: 정보 노출(KASLR 우회) $\rightarrow$ Memory-Corruption (CVE-2025-21760) $\rightarrow$ 권한 상승(Privilege Escalation).
• UAF 유형의 취약점은 단독으로 사용되기보다, 커널 주소 공간 배치를 파악하는 다른 정보 유출 취약점과 체이닝되어 공격 성공률을 높이는 패턴을 보입니다.

1. 로그 지표:
   • dmesg 또는 /var/log/syslog 내의 Kernel panic, General protection fault, Unable to handle kernel paging request 등의 메시지.
   • 특히 ndisc_send_skb와 관련된 Call Stack이 포함된 커널 덤프 로그.
2. 탐지 규칙:
   • SIEM 로직 (의사코드):
     SELECT timestamp, hostname, message FROM kernel_logs WHERE (message CONTAINS "General protection fault" OR message CONTAINS "kernel panic") AND message CONTAINS "ndisc_send_skb"
   • 행위 기반 탐지: 짧은 시간 내에 동일한 로컬 사용자가 네트워크 인터페이스 설정(ip link, ifconfig 등)을 비정상적으로 반복 변경하는 패턴 감시.
3. 오탐 튜닝: 단순한 커널 패닉은 하드웨어 결함이나 다른 드라이버 이슈일 수 있습니다. 탐지 범위를 ndisc 관련 함수 호출 스택이 포함된 경우로 한정하여 정밀도를 높여야 합니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.095(Moderate) 수치는 이론적 심각도와 별개로 실제 악용 가능성이 존재함을 뜻합니다. 이에 따라 이번 주 내 패치를 완료하는 scheduled 우선순위로 결정되었습니다.

1. 즉시 (긴급 차단):
   • 조치: sysctl을 통해 unprivileged 사용자의 네트워크 설정 변경 권한 제한 및 IPv6 Neighbor Discovery 기능이 불필요한 서버의 경우 IPv6 비활성화.
   • 난이도/영향: 낮음 / 일부 네트워크 서비스 영향 가능성 있음.
   • 검증: sysctl -a | grep ipv6 확인.
2. 단기 (완화):
   • 조치: Seccomp 프로필 또는 AppArmor/SELinux를 적용하여 프로세스의 불필요한 커널 시스템 콜 접근 제한.
   • 난이도/영향: 중간 / 애플리케이션 호환성 테스트 필요.
   • 검증: 보안 정책 로그(Audit log) 확인.
3. 근본 (해결):
   • 조치: 영향 받는 커널 버전에서 rcu_read_lock()이 조기에 적용된 수정 버전으로 업데이트. (예: 6.12.17+, 6.6.80+ 등 각 브랜치의 최신 패치 적용)
   • 난이도/영향: 중간 / 커널 업데이트 후 리부팅 필수(서비스 다운타임 발생).
   • 검증: uname -r을 통해 패치된 버전 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.095 · exploit=moderate · in_scope=None