[분석가] 분석 — CVE-2025-71191

• 심각도 medium · CVSS 5.5 · EPSS 0.00183 · 악용난이도 hard

(1) 트리거 조건: Linux 커널의 DMA 엔진 드라이버인 at_hdmac 내 of_dma_xlate() 함수에서 DMA 플랫폼 장치를 조회할 때 참조 횟수(reference count)가 증가하지만, 채널 리소스 해제 시 이를 적절히 감소(put_device())시키지 않아 발생하는 Device Leak 결함입니다.
(2) 공격 단계:

• 정찰 및 접근: 로컬 시스템에 대한 낮은 수준의 권한(PR:L)을 가진 사용자가 대상 드라이버를 사용하는 환경인지 확인합니다.
• 실행: DMA 채널 할당과 해제를 반복적으로 트리거하는 작업을 수행합니다.
• 영향: 메모리 내 장치 객체가 해제되지 않고 누적되어 커널 리소스 고갈(Resource Exhaustion)을 유발합니다.
  (3) 공격 표면: at_hdmac 드라이버를 사용하는 하드웨어 인터페이스 및 관련 커널 API입니다.
  (4) CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H에 따라, 로컬 권한을 가진 공격자가 특별한 사용자 상호작용 없이 낮은 복잡도로 가용성(Availability)에 치명적인 영향을 줄 수 있는 구조입니다.

악용 가능성: 본 취약점은 Linux kernel의 dmaengine 내 at_hdmac 드라이버에서 발생하는 Device leak으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건에 따라, 공격자는 이미 시스템에 낮은 권한(Low privilege)의 계정을 확보하여 로컬 환경에서 접근 가능한 상태여야 합니다. 공격 표면은 DMA 채널 리소스를 할당하고 해제하는 커널 내부 함수인 of_dma_xlate()와 관련 엔드포인트로 제한되며, 특정 하드웨어 드라이버가 활성화된 환경이라는 전제조건이 필요합니다. EPSS 수치가 0.00183으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실질적 위협 수준이 낮음을 뒷받침합니다. 다만, 성공적인 할당 과정에서 참조 횟수가 누적되는 메모리 누수 특성상, 정교하게 설계된 트리거를 통해 시스템 자원을 고갈시키는 가용성 침해 시나리오가 가능합니다. 결과적으로 로컬 권한 확보라는 높은 진입 장벽과 특정 하드웨어 의존성으로 인해 즉각적인 대규모 악용 가능성은 낮으나, 커널 레벨의 리소스 누수라는 잠재적 위험을 내포하고 있습니다.

(1) 기술적 위험: 커널 내 장치 객체 누수로 인한 메모리 고갈 및 시스템 불안정성이 발생하며, 최종적으로는 커널 패닉(Kernel Panic) 또는 시스템 응답 불가 상태의 서비스 중단(DoS)으로 이어집니다.
(2) 비즈니스 영향: 해당 드라이버를 사용하는 임베디드 시스템이나 특정 서버 환경에서 예기치 못한 재부팅 및 서비스 다운타임이 발생하여 가용성 저하와 운영 신뢰도 하락을 초래할 수 있습니다.

추정: 본 취약점은 단독으로 권한 상승(LPE)이나 데이터 유출을 일으키지는 않으나, 리소스 고갈 상태를 유도하여 커널의 메모리 관리 메커니즘을 불안정하게 만든 뒤 다른 메모리 오염(Memory Corruption) 취약점과 체이닝하여 공격 성공률을 높이는 보조 수단으로 활용될 가능성이 있습니다.

(1) 로그 지표: /var/log/syslog 또는 dmesg 내에서 DMA 관련 할당 오류나 커널 메모리 부족(Out of Memory) 경고 메시지를 확인합니다.
(2) 탐지 규칙 예시:

• 로직: 특정 프로세스가 짧은 시간 내에 비정상적으로 많은 수의 DMA 채널 요청/해제 패턴을 반복하는지 모니터링.
• SIEM 쿼리 예시: process_name == "unknown" AND event_id == "kernel_resource_alert" AND message contains "at_hdmac"
• 커널 메모리 추적: slabtop 또는 /proc/slabinfo에서 장치 관련 객체(device objects)의 개수가 지속적으로 증가하는지 확인.
  (3) 오탐 시나리오 및 튜닝: 정상적인 하드웨어 초기화 과정이나 드라이버 재시작 시 일시적 증가가 있을 수 있습니다. 임계값을 설정하여 단발성 이벤트가 아닌 '지속적인 우상향' 추세를 보이는 경우에만 알람을 발생시키도록 튜닝합니다.

• 즉시(긴급 차단): at_hdmac 드라이버를 사용하지 않는 환경이라면 해당 모듈의 로드를 차단(modprobe -r at_hdmac)합니다. (난이도: 낮음 / 영향: 해당 하드웨어 기능 상실 가능성 있음 / 검증: lsmod 확인)
• 단기(완화): 시스템 리소스 모니터링 임계값을 강화하여 메모리 누수 징후 발견 시 자동 재시작 또는 알림 체계를 구축합니다. (난이도: 중간 / 영향: 가용성 일시 저하 / 검증: 모니터링 대시보드 확인)
• 근본(해결): 영향받는 커널 버전(3.10.1 ~ 6.18.7 범위 내 해당 버전들)에서 of_dma_xlate()의 put_device() 누락이 수정된 최신 패치 버전으로 업데이트합니다. (난이도: 높음 / 영향: 시스템 재부팅 필요 / 검증: uname -r 및 패치 커밋 적용 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00183, 백분위 0.08079) 수치를 통해 실제 야생 악용 가능성이 매우 낮음을 확인했습니다. 이에 따라 CVSS 5.5의 이론적 위험도보다 낮은 'monitor' 우선순위를 적용하였으며, 이는 KEV 미등재 및 공격 난이도(hard)를 반영한 규칙 기반 결정입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00183 · exploit=hard · in_scope=None