[단독분석] 분석 — CVE-2026-23457

• 심각도 high · CVSS 8.6 · EPSS 0.00433 · 악용난이도 moderate

• 촉발 지점: netfilter 모듈의 nf_conntrack_sip 내 sip_help_tcp() 함수에서 발생합니다.
• 취약 원리: SIP Content-Length 헤더를 simple_strtoul()(unsigned long 반환)로 파싱한 뒤, 이를 unsigned int clen 변수에 저장하는 과정에서 32비트 정수 오버플로우/절단(Truncation)이 발생합니다.
• 공격 경로: 64비트 시스템에서 UINT_MAX를 초과하는 값(예: $2^{32} + 32$)을 전송하면, 실제 값은 32로 절단되어 메시지 경계가 잘못 계산됩니다.
• 결과 단계: 파서가 TCP 세그먼트의 나머지 데이터를 별도의 SIP 메시지로 오인하여 처리하게 되며, 이 과정에서 후속 데이터가 SDP(Session Description Protocol) 파서로 전달됩니다.

악용 가능성: 본 취약점은 네트워크 경계에서 SIP 트래픽을 처리하는 nf_conntrack_sip 모듈의 정수 절삭(Integer Truncation) 결함으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 나타내듯 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 TCP 세그먼트를 전송하는 것만으로 트리거할 수 있어 진입 장벽이 매우 낮습니다. 공격 표면은 Content-Length 헤더 값이 포함된 SIP 프로토콜의 TCP 엔드포인트이며, 64비트 시스템에서 UINT_MAX를 초과하는 값을 입력하여 파서가 메시지 경계를 오판하게 만드는 것이 핵심 트리거 조건입니다. 다만 EPSS 수치가 0.00433으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점 노출도와 달리 실제 야생(In-the-wild)에서 공격자로 활용된 사례가 미관측되었음을 시사합니다. 결과적으로 네트워크 스택의 깊은 단계에서 발생하는 논리적 오류이기에 정밀한 페이로드 구성이 필요하며, 이는 단순한 전송 가능성과 실제 유효한 익스플로잇 성공 사이의 간극을 형성하여 악용 가능성을 낮추는 요인이 됩니다.

• 기술적 위험:
  • 서비스 중단 (Availability): 잘못된 경계 계산으로 인한 커널 패닉 또는 netfilter 모듈의 비정상 동작으로 시스템 가용성이 저하될 수 있습니다(CVSS A:H 반영).
  • 무결성 및 기밀성 훼손: 추정: SDP 파서로 전달된 조작된 데이터가 추가적인 메모리 손상을 유발할 경우, 제한적인 정보 유출(C:L)이나 데이터 변조(I:L) 가능성이 존재합니다.
• 비즈니스 리스크: 영향 제품 범위가 Linux 커널 2.6.34부터 6.19까지 매우 광범위하여, SIP 기반 VoIP 인프라나 방화벽을 운영하는 기업의 노출 규모가 클 것으로 분석됩니다. 이는 서비스 가용성 침해로 인한 비즈니스 연속성 저해 및 통신 신뢰도 하락으로 이어질 수 있습니다.

• 유형: Integer Truncation (정수 절단) 취약점입니다.
• 체이닝 가능성: 단독으로는 가용성 침해가 주된 위험이나, SDP 파서의 다른 취약점과 체이닝될 경우 원격 코드 실행(RCE)으로 이어질 가능성을 배제할 수 없습니다.

• 네트워크 레벨: TCP 세그먼트 내 SIP Content-Length 헤더 값이 비정상적으로 큰 경우(예: $2^{32}$ 이상)를 모니터링합니다.
  • 패턴 예시: Content-Length: [4294967296+]
• 시스템 레벨: 커널 로그(dmesg)에서 nf_conntrack_sip 관련 세그멘테이션 폴트나 패닉 징후를 확인합니다.

• 근본 해결: 영향받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하십시오. (clen 변수를 unsigned long으로 변경하고 TCP 페이로드 길이를 검증하는 패치 적용 필요)
• 즉시 조치:
  • 불필요한 경우 nf_conntrack_sip 커널 모듈을 비활성화하여 공격 표면을 제거합니다.
  • 네트워크 경계 방화벽이나 IPS에서 비정상적인 SIP 헤더 길이를 필터링하는 규칙을 적용합니다.

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00433(백분위 0.35635)으로, 이론적 심각도(CVSS 8.6)에 비해 실제 야생 악용 확률은 현재 낮은 수준(moderate)입니다. 이에 따라 KEV 미등재 상태와 EPSS 수치를 종합하여 '이번 주 내 대응'하는 scheduled 우선순위로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.6 · non-KEV · EPSS=0.00433 · exploit=moderate · in_scope=None