[분석가] 분석 — CVE-2025-40257

• 심각도 미상 · CVSS 미상 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건: mptcp_pm_del_add_timer() 함수가 실행되는 도중, 다른 프로세스나 스레드가 해당 entry를 이미 해제(free)한 상태에서 sk_stop_timer_sync()를 호출할 때 발생하는 Race Condition입니다.
(2) 공격 단계:

• 정찰 및 접근: MPTCP(Multi-Path TCP) 프로토콜이 활성화된 대상 시스템에 네트워크 패킷 전송.
• 실행: 특정 타이밍에 mptcp_incoming_options를 통해 트리거되는 경로로 조작된 옵션 패킷을 송신하여 커널 내 Race Condition 유도.
• 영향: 메모리 해제 후 참조하는 Slab-use-after-free(UAF) 발생 $\rightarrow$ 추정: 커널 패닉으로 인한 서비스 거부(DoS) 또는 제한적인 권한 상승 시도.
  (3) 공격 표면: MPTCP 프로토콜 스택 및 관련 옵션 처리 엔드포인트(net/mptcp/options.c).
  (4) CVSS 벡터 연결:
• AV (Attack Vector): Network (원격 패킷 송신 가능).
• AC (Attack Complexity): High (정밀한 타이밍 제어가 필요한 Race Condition 특성상 난이도 높음).
• PR (Privileges Required): None (추정: 네트워크 스택 레벨의 취약점으로 외부에서 접근 가능).
• UI (User Interaction): None.

악용 가능성: 본 취약점은 Linux Kernel의 mptcp 모듈 내 mptcp_pm_del_add_timer() 함수에서 발생하는 Race Condition으로, 공격 난이도는 Hard로 평가됩니다. 공격자가 이를 악용하려면 Local 권한을 통해 커널 메모리에 접근하거나 특수하게 조작된 MPTCP(Multipath TCP) 패킷을 전송하여 타이머 삭제와 참조 시점의 정밀한 타이밍 차이를 유도해야 합니다. 공격 표면은 MPTCP 프로토콜 스택과 관련된 네트워크 엔드포인트 및 커널 내부의 mptcp_worker 워크큐로 제한됩니다. EPSS 수치는 0.00171로 매우 낮으며 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 Slab-use-after-free 위험에도 불구하고 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 결과적으로 정교한 타이밍 공격이 필요하며 트리거 조건이 까다롭기 때문에, 일반적인 외부 공격보다는 특정 환경의 로컬 권한 상승이나 시스템 거부(DoS)를 목표로 하는 고도화된 공격자에 의해 제한적으로 악용될 가능성이 높습니다.

(1) 기술적 위험: slab-use-after-free로 인해 커널 메모리 오염이 발생하며, 이는 즉각적인 시스템 크래시(Kernel Panic) 및 서비스 중단으로 이어질 수 있습니다. 추정: 공격자가 메모리 레이아웃을 정밀하게 제어할 경우 임의 코드 실행 가능성이 존재하나, 난이도가 매우 높습니다.
(2) 비즈니스 영향: MPTCP를 사용하는 고가용성 네트워크 인프라의 가용성 저하 및 시스템 불안정성 초래. 다만, 실측 EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않아 실제 야생 악용 가능성은 현재로서 희박합니다.

(1) 유형: Race Condition $\rightarrow$ Use-After-Free (UAF).
(2) 체이닝 패턴: 추정: [원격 패킷 송신] $\rightarrow$ [커널 메모리 UAF 발생] $\rightarrow$ [커널 권한 상승(LPE)] 또는 [시스템 중단(DoS)]. 일반적인 커널 취약점 체인과 같이, 정보 유출(KASLR 우회) 취약점과 결합될 때 공격 성공률이 높아지는 패턴을 보입니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 BUG: KASAN: slab-use-after-free in __timer_delete_sync 또는 mptcp_worker 워크큐와 관련된 Stack Trace 발생 여부.
(2) 탐지 규칙 예시:

• 로직: grep -E "slab-use-after-free.*__timer_delete_sync" /var/log/kern.log
• SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message LIKE '%slab-use-after-free%' AND message LIKE '%mptcp_pm_del_add_timer%'
  (3) 오탐 시나리오 및 튜닝: KASAN(Kernel Address Sanitizer)이 활성화된 테스트/개발 환경에서는 일반적인 버그 리포트로 나타날 수 있습니다. 운영 환경(Production)에서 해당 로그가 발생하는지 여부를 기준으로 필터링하여 튜닝합니다.

• 즉시(긴급 차단): MPTCP 기능 비활성화. (명령어 예: sysctl -w net.mptcp.enabled=0). 구현 난이도 낮음 / 운영 영향 높음(MPTCP 의존 서비스 중단) / 검증: sysctl 설정값 확인.
• 단기(완화): 네트워크 방화벽/IPS에서 비정상적인 MPTCP 옵션을 포함한 패킷 필터링. 구현 난이도 중간 / 운영 영향 낮음 / 검증: 트래픽 캡처 및 분석.
• 근본(해결): RCU 보호 로직과 stop_timer 불리언 변수 수정이 적용된 최신 Linux 커널 버전으로 업데이트. 구현 난이도 중간 / 운영 영향 중간(재부팅 필요) / 검증: uname -r 및 패치 내역 확인.

[파이프라인 근거] 본 리포트는 다중 소스 교차검증을 통해 MPTCP Race Condition의 일관성을 확인하였으며, 실측 EPSS 0.00171(백분위 0.0672) 및 exploit=hard 등급을 근거로 우선순위를 'monitor'로 결정하였습니다. 이는 이론적 심각도와 별개로 실제 악용 가능성이 매우 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None