[분석가] 분석 — CVE-2026-43026

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 원리: ctnetlink_alloc_expect()가 제로화되지 않은 슬랩 캐시를 사용하여 메모리를 할당할 때, Netlink 메시지에 CTA_EXPECT_NAT 필드가 없으면 saved_addr, saved_proto 등이 초기화되지 않고 이전 할당자의 잔류 데이터(Stale data)가 남게 됩니다.
• 경로: 공격자가 NAT 기대치(Expectations)를 생성 및 해제하여 슬랩 캐시를 오염시킨 후, 해당 필드가 누락된 새로운 기대치를 생성합니다.
• 단계: ctnetlink_exp_dump_expect()가 이 필드들을 체크하여 사용자 공간으로 덤프하는 과정에서 초기화되지 않은 커널 메모리 값이 유출됩니다.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 모듈 내 ctnetlink 인터페이스에서 발생하는 정보 유출(Information Leak) 결함입니다. 공격자는 AV:L 및 PR:L 조건에 따라 시스템에 이미 로그인한 저권한 계정 권한을 보유해야 하며, AC:L이 시사하듯 특수한 환경 설정 없이도 Netlink 메시지를 통해 트리거할 수 있습니다. 구체적인 공격 표면은 ctnetlink_alloc_expect() 함수가 호출되는 Netlink 엔드포인트이며, CTA_EXPECT_NAT 파라미터가 누락된 요청을 보낼 때 초기화되지 않은 Slab cache의 잔류 데이터(stale data)가 유출되는 원리입니다. EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서의 실제 악용 사례가 미관측되었음을 의미하며, 이는 단순한 데이터 노출이라는 특성상 직접적인 RCE로 이어지기 어렵기 때문입니다. 따라서 공격 난이도는 로컬 권한 획득이라는 전제조건으로 인해 hard로 판정되며, 이론적 심각도보다는 커널 메모리 레이아웃을 파악하려는 정교한 체인 공격의 보조 수단으로 악용될 가능성이 존재합니다.

• 기술적 위험: 단순한 정보 유출을 넘어, 유출된 잔류 데이터에 커널 포인터가 포함될 경우 KASLR(Kernel Address Space Layout Randomization)을 우회하는 핵심 징검다리로 활용될 수 있습니다. 이는 단독으로는 무해하나, 다른 메모리 손상 취약점과 결합 시 권한 상승(LPE)으로 이어지는 치명적인 경로가 됩니다.
• 비즈니스 리스크: 영향 제품 범위가 Linux Kernel 3.4부터 최신 버전대까지 매우 광범위하여 클라우드 호스트 및 컨테이너 환경의 노출 규모가 큽니다. 특히 다중 테넌트 환경에서 한 사용자의 로컬 권한 탈취가 커널 메모리 릭을 통해 전체 시스템 장악으로 확장될 수 있어 리스크가 상승합니다.
• 우선순위 판단: CVSS(5.5)와 EPSS(0.00129, 백분위 0.02926) 수치는 낮으며 KEV 미등재 상태로 실제 야생 악용은 미관측되었습니다. 그러나 커널 포인터 유출의 잠재적 영향력을 고려하여 monitor 등급으로 설정하되, LPE 체이닝 가능성을 염두에 둔 감시가 필요합니다. 본 판단은 다중 소스 간 데이터 일관성이 확인된 신뢰도 1.0의 근거를 바탕으로 합니다.

• 유형: Uninitialized Memory Read (CWE-908 추정).
• 체이닝 가능성: 유출된 커널 주소 정보를 이용해 KASLR을 무력화한 후, 다른 커널 쓰기(Write) 취약점과 결합하여 권한 상승(LPE)을 달성하는 시나리오가 가능합니다.

• 분석 지표: ctnetlink 인터페이스를 통한 비정상적인 기대치 생성 및 덤프 반복 패턴.
• 탐지 패턴 예시: CTA_EXPECT_NAT 속성이 누락된 Netlink 메시지를 지속적으로 전송하여 커널 메모리를 읽어내려는 시도 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux Kernel 버전을 최신 보안 패치 버전으로 업데이트 (부재한 NAT 필드를 명시적으로 제로화하는 로직 적용).
• 즉시 조치: CAP_NET_ADMIN 권한을 가진 프로세스의 실행 권한을 엄격히 제한하여 일반 사용자의 ctnetlink 소켓 접근을 차단합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None