[방어] 분석 — CVE-2025-68776

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

HSR(High‑availability Seamless Redundancy) 인터페이스가 PRP(Parallel Redundancy Protocol) 프레임을 수신하면 net/hsr의 prp_get_untagged_frame()이 내부에서 __pskb_copy()로 복사 버퍼를 할당합니다. 메모리 부족 등으로 이 함수가 NULL을 반환해도 검사하지 않으며, 바로 뒤의 skb_clone(NULL, …) 호출에서 NULL 포인터 역참조가 발생하여 커널 패닉(General Protection Fault)이 일어납니다. 공격자는 PRP 프레임을 대량 전송하거나 메모리 압박을 유도해 할당 실패를 강제함으로써 원격 서비스 거부(Remote DoS)를 실현할 수 있습니다.

악용 가능성: 이 취약점은 net/hsr 모듈을 통해 PRP(Parallel Redundancy Protocol) 프레임을 수신할 때 발생하므로, Attack Vector = Network이며 공격자는 해당 인터페이스에 임의의 Ethernet 프레임을 전송하기만 하면 된다.
프레임 자체를 조작하는 것이 핵심이므로 Attack Complexity = Low, 별도의 암호 해독이나 복잡한 사전 작업이 필요하지 않다.
취약 코드는 커널 수준에서 실행되기 때문에 Privileges Required = Low(일반 사용자도 AF_PACKET 소켓 등으로 raw 패킷을 전송할 수 있는 경우)이며, User Interaction = None이다.

EPSS가 0.00177이라는 실측값은 아직 대규모 악용 사례는 없지만, 실제 공격이 발생한 가능성을 완전히 배제하지 못한다는 점에서 이론적 심각도와 별개로 현장에서 위협으로 인식해야 함을 시사한다. KEV에 등재되지 않은 것은 현재까지 공개된 익스플로잇이나 대규모 캠페인이 보고되지 않았다는 의미이며, 이는 공격 난이도가 “hard”이라고 평가된 이유와 일치한다(공격 성공에 필요한 조건이 비교적 제한적이지만, 존재함).

노출되는 공격 표면은 HSR/PRP를 활성화한 Linux 커널 네트워크 스택과, 해당 인터페이스가 바인드된 물리·가상 NIC

• 커널 패닉 → 전체 시스템 다운 및 즉시 재부팅 필요
• 가상화 환경에서는 동일 호스트 내 다른 VM까지 영향을 받아 연쇄적인 서비스 중단 위험
• 서비스 복구에 소요되는 시간만큼 SLA 위반·데이터 손실 가능성

• net/ipv6·net/sctp 등 다른 네트워크 서브시스템에서도 동일한 NULL 포인터 검증 부재가 보고된 바 있습니다.
• 메모리 할당 실패를 이용한 “allocation‑failure DoS” 패턴과 연계될 경우, 공격자는 여러 모듈을 동시에 압박해 시스템 전반의 가용성을 저하시킬 수 있습니다.

로그 지표

1. dmesg·/var/log/kern.log에 “general protection fault”, “null‑ptr‑dereference”, “skb_clone+0xd7” 문자열이 포함된 Oops 메시지가 기록됩니다.
2. KASAN 활성 시 KASAN: null-ptr-deref in range [...] 라인이 추가됩니다.

SIEM 쿼리 예시

• Elastic ELK (Lucene Query DSL)

  text복사

   1event.module:"kernel" AND 
   2(message:*"general protection fault"* OR message:*"null-ptr-deref"* ) AND 
   3message:* "skb_clone+0xd7"

• Splunk SPL

  text복사

   1index=linux_logs sourcetype=kern* ("general protection fault" OR "null-ptr-deref") "skb_clone+0xd7"

정규식 예시 (syslog 파서)

 1/(?i)kernel:.*(general protection fault|null[-_]ptr[-_]deref).*skb_clone\+0xd7/

오탐 튜닝

• 위 패턴은 hsr 모듈이 로드된 시스템에서만 발생하므로, lsmod | grep hsr 결과가 없을 경우 해당 알림을 낮은 심각도로 다운그레이드합니다.
• 정상적인 커널 디버깅 시에 의도적으로 Oops를 발생시키는 경우를 제외하고, 동일 메시지가 연속 3회 이상 발생하면 실제 공격 가능성으로 판단합니다.

추가 인시던트 대응 플레이북

1. Oops 로그 감지 → 즉시 해당 호스트를 격리하고 dmesg 전체 출력 수집
2. lsmod | grep hsr 로 모듈 존재 여부 확인 후, 필요 시 modprobe -r hsr 실행
3. 메모리 사용량 급증 여부 (top, vmstat) 파악 → 과도한 PRP 트래픽 차단(방화벽 ACL 적용)
4. 패치가 배포된 경우 정상 부팅 후 uname -r·grep prp_get_untagged_frame /boot/config-$(uname -r) 로 수정 여부 검증

우선순위 근거
다중 소스 교차검증 결과(‘[교차검증] 다중 소스 데이터 일관성 확인됨’)에 따라 CVE 내용이 확정되었으며, EPSS 0.00177·백분위 0.07464(‘[실측 악용예측]’)는 실제 악용 가능성이 낮지만 ‘hard’ 난이도·non‑KEV·CVSS 미상 상황에서 monitor 수준으로 지정되었습니다(‘[우선순위 결정]’). 따라서 즉시 차단(모듈 블랙리스트)과 동시에 지속적인 모니터링을 병행하는 것이 가장 합리적인 방어 전략입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None