[공격] 분석 — CVE-2025-40219

• 심각도 미상 · CVSS 미상 · EPSS 0.00198 · 악용난이도 hard

본 취약점은 SR-IOV 설정 변경(enable/disable)과 PCI Hotplug 이벤트 간의 Race Condition으로 인한 Deadlock 발생이 핵심이다.

• 공격 표면 및 트리거:

  • 노출 엔드포인트: /sys/bus/pci/devices/<device>/sriov_numvfs (sysfs 인터페이스)
  • 트리거 파라미터: sriov_numvfs 파일에 값을 기록하여 VF(Virtual Function) 개수를 변경하는 행위.
  • 결함 지점: sriov_add_vfs() 및 sriov_del_vfs() 내에서 PCI rescan/remove lock을 획득하는 시점과, PF(Physical Function) 제거 시 동일 lock 하에서 SR-IOV를 비활성화하려는 시점이 충돌하여 Deadlock 발생.

• 공격 체인 및 전제 조건:

  1. 정찰: 대상 시스템의 PCI 장치 목록 및 SR-IOV 지원 여부 확인 (lspci -vv).
  2. 초기 접근/권한 획득: sysfs 내의 커널 파라미터를 수정해야 하므로, Root 권한 또는 CAP_SYS_ADMIN 권한이 전제되어야 함. (추정: 컨테이너 환경일 경우 호스트의 /sys가 마운트되어 있거나 특권 모드여야 함).
  3. 실행(Trigger):
     • Thread A: sriov_numvfs 수정을 통해 VF 생성/삭제 유도 $\rightarrow$ PCI rescan/remove lock 획득 시도.
     • Thread B: 동시에 해당 PF의 Hot-unplug 이벤트 발생 $\rightarrow$ 동일 lock 획득 후 SR-IOV 비활성화 시도.
  4. 영향: 커널 스레드 간 Lock 교착 상태로 인한 시스템 전체 프리징(Hang).

• 공격 조건 분석 (CVSS 벡터 관점):

  • AV (Attack Vector): Local (sysfs 접근 필요)
  • AC (Attack Complexity): High (정확한 타이밍에 Hotplug 이벤트와 설정 변경이 맞물려야 함)
  • PR (Privileges Required): High (Root/Admin 권한 필수)
  • UI (User Interaction): None

악용 가능성: 본 취약점은 Linux Kernel의 PCI/IOV 서브시스템 내 SR-IOV 활성화/비활성화 과정과 Hotplug 이벤트 간의 Race Condition으로 인해 발생하며, 공격 난이도는 Hard로 평가됩니다. 공격자는 하드웨어 수준의 PCI 장치 제어권이나 커널 모듈을 통한 특수 권한(PR: High)을 보유해야 하며, 특정 타이밍에 SR-IOV 설정과 Hotplug를 동시에 트리거해야 하는 정밀한 조건(AC: High)이 요구됩니다. 공격 표면은 sriov_add_vfs() 및 sriov_del_vfs() 함수와 관련된 PCI 리소스 관리 엔드포인트이며, 주로 가상화 환경의 Hypervisor나 물리 서버의 커널 인터페이스가 타겟이 됩니다. EPSS 수치가 0.00198로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 Deadlock 가능성과 달리 실제 야생(In-the-wild)에서 이를 무기화하여 공격에 성공시킨 사례가 극히 드물다는 것을 의미합니다. 결과적으로 이 취약점은 단순한 원격 실행보다는 시스템 가용성을 파괴하는 DoS 유발 가능성이 높으며, 물리적/관리적 접근 권한이 전제되어야 하므로 실전 악용 가능성은 제한적입니다.

• 가용성 상실(DoS): 커널 레벨의 Deadlock으로 인해 시스템이 응답 불능 상태에 빠지며, 하드웨어 리셋 외에는 복구가 불가능함. 데이터 손실 및 서비스 중단 초래.

• 권한 상승 체이닝 (추정): 본 취약점 단독으로는 DoS만 가능하나, 다른 Local Privilege Escalation(LPE) 취약점을 통해 Root 권한을 획득한 공격자가 시스템 전체를 무력화하거나 특정 하드웨어 가속기(GPU, NIC)의 제어권을 완전히 파괴하는 용도로 체이닝할 수 있음.
• 취약점 유형 체이닝 (추정): Race Condition $\rightarrow$ Deadlock 패턴으로, 메모리 오염(Memory Corruption)보다는 시스템 상태 머신(State Machine)의 논리적 결함을 이용함. 만약 Deadlock 발생 전후로 Lock 해제가 비정상적으로 이루어지는 지점이 있다면 Use-After-Free (UAF) 등으로 이어질 가능성이 있으나, 본 리포트 근거로는 DoS가 주된 영향임.

• 로그 분석: 커널 로그(dmesg)에서 INFO: task ... blocked for more than 120 seconds와 같은 Soft-lockup 메시지와 함께 PCI/IOV 관련 함수 호출 스택 확인.
• 행위 모니터링: /sys/bus/pci/devices/*/sriov_numvfs 파일에 대한 빈번하고 비정상적인 쓰기 작업과 동시에 발생하는 PCI 장치 제거 이벤트 감시.

• 근본 해결: sriov_numvfs_store() 단계에서 sriov_configure() 콜백 호출 전 lock을 획득하도록 수정된 최신 Linux 커널 패치 적용.
• 즉시 조치: 불필요한 SR-IOV 설정 변경 권한 제한 및 신뢰할 수 없는 사용자의 sysfs 접근 차단.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 [교차검증] 결과를 바탕으로 작성되었습니다. 실측 EPSS 값 0.00198(백분위 0.09908)은 실제 야생에서의 악용 가능성이 매우 낮음을 정량적으로 보여주며, 이에 따라 KEV 미등재 및 높은 공격 난이도(hard)를 근거로 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00198 · exploit=hard · in_scope=None