[단독분석] 분석 — CVE-2024-26783

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

• NUMA balancing이 활성화된 상태에서 메모리 부족 노드가 존재하면, 커널 내부의 wakeup_kswapd() 가 잘못된 인덱스 ‑1 로 호출됩니다.
• 이 호출은 페이지 폴트와 함께 OOPS를 발생시키며, 시스템을 자동으로 패닉(panic) 시키거나 재부팅하게 만들 수 있습니다.
• 원격에서 직접 악용하기는 어렵지만, 로컬 프로세스가 메모리 압력을 인위적으로 조성하거나 NUMA 설정을 조작함으로써 트리거할 수 있습니다.

악용 가능성: 이 취약은 AV:L(로컬)·AC:L(낮은 난이도)·PR:L(저특권)·UI:N(사용자 상호작용 없음)의 CVSS 벡터가 의미하듯, 공격자는 대상 시스템에 직접 접근할 수 있어야 하며 특별한 권한 상승 없이도 시도를 할 수 있습니다. 그러나 실제로 악용되려면 NUMA balancing이 활성화된 Linux 커널에서 특정 NUMA 노드가 로컬 메모리를 전혀 보유하지 않아 관리 영역(zone)이 없을 때, 커널 내부 함수 wakeup_kswapd()가 잘못된 인덱스(‑1)로 호출되는 상황을 만들어야 하므로 조건이 매우 제한적입니다. 이러한 트리거는 주로 메모리 압박(OOM)이나 페이지 회수 작업 중에 발생하며, 노출되는 공격 표면은 커널의 메모리 관리 코드와 wake_up_kswapd 호출 경로뿐이며 외부 네트워크·프로토콜 인터페이스와는 연결되지 않습니다. EPSS 점수가 0.00242로 매우 낮아 실제 관측된 악용 사례가 거의 없으며, KEV 목록에도 포함되지 않아 현재까지는 이론적 위험에 머물고 있음을 보여줍니다. 따라서 공격 난이도는 로컬 환경과 특정 NUMA 구성이라는 제약으로 ‘hard’ 등급을 유지하지만, 실제 악용 가능성은 제한된 조건에 의존하므로 전반적인 위협 수준은 낮다고 평가됩니다.

• 영향 제품: Linux kernel 5.18‑6.6.22, 6.7‑6.7.9 등 총 8개의 커널 버전이 해당됩니다. 다중 소스에서 일관성이 확인돼(​[교차검증]​) 취약점 존재가 확정되었습니다.
• 기술적 위험: wakeup_kswapd() 가 ‑1 로 호출되어 발생하는 OOPS는 커널 패닉을 초래하므로, 서비스 중단·시스템 가용성 저하가 주요 결과입니다. 데이터 유출이나 권한 상승은 보고되지 않았습니다.
• 비즈니스 리스크:
  • 가용성 손실 → SLA 위반 및 고객 신뢰도 하락 가능성.
  • 운영 환경이 다수(8) 커널 버전에 걸쳐 있어 공급망 차원에서 광범위하게 노출될 수 있음(​[품질 신호]​).
• 악용 확률: EPSS 0.00242(​[실측 악용예측]​)는 실제 공격이 관찰된 사례가 적지만, “hard” 등급으로 평가돼 잠재적 위험을 무시하기 어렵습니다. 따라서 모니터링 중심의 대응이 권고됩니다.

• 동일한 NUMA balancing 로직이나 kswapd 호출 경로와 연관된 과거 커널 메모리 관리 버그(CVE‑2023‑xxxx 등)와 결합될 경우, 서비스 거부 공격을 강화할 가능성이 있습니다. 현재 확인된 직접적인 체이닝 사례는 없습니다.

• dmesg·/var/log/kern.log 등에 “BUG: unable to handle page fault” 와 함께 wakeup_kswapd 호출 위치가 기록되는 OOPS 로그를 모니터링합니다.
• 로그 패턴 예시: RIP: 0010:wakeup_kskipd (./linux/mm/vmscan.c:7812) 및 “zone index -1” 문구가 포함된 경우 경보를 발생시킵니다.

• 즉시 조치: 해당 커널 버전에 대한 최신 보안 패치를 적용합니다(예: 6.6.23 이상, 6.7.10 이상). 패치 적용이 어려운 경우 sysctl -w kernel.numa_balancing=0 로 NUMA balancing을 비활성화하여 오류 발생을 방지할 수 있습니다.
• 장기 조치: 정기적인 커널 업데이트 정책을 수립하고, OOPS 로그에 대한 자동 수집·분석 파이프라인을 구축해 지속적으로 모니터링합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None