[방어] 분석 — CVE-2025-71113

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 원리: crypto: af_alg 모듈에서 sock_kmalloc()을 통해 메모리를 할당할 때, 일부 컨텍스트와 요청 구조체가 0으로 초기화되지 않은 채 사용됨.
• 경로: 로컬 권한을 가진 사용자가 af_alg 인터페이스를 통해 암호화 API 요청을 생성함.
• 단계:
  1. 할당된 메모리에 잔존하는 쓰레기 값(Garbage value)이 af_alg_ctx 구조체의 inflight 변수 위치에 존재.
  2. 커널이 ctx->inflight 값을 명시적 비교 없이 직접 테스트함.
  3. 쓰레기 값이 true로 해석될 경우, af_alg_alloc_areq() 함수가 무작위로 -EBUSY 에러를 반환하며 요청을 거부함.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정되며, 이는 CVSS 벡터 AV:L/PR:L에서 알 수 있듯 공격자가 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 한다는 전제조건 때문입니다. 공격 표면은 Linux 커널의 af_alg 인터페이스 및 관련 소켓 API(sock_kmalloc)로, 네트워크 프로토콜이 아닌 커널 내 암호화 프레임워크의 메모리 할당 영역에 국한됩니다. 트리거 조건은 af_alg_ctx 구조체 내 inflight 변수 등 초기화되지 않은 메모리 영역을 유도하여 에러 경로(Error Path)에서 비정상적인 데이터가 사용되게 하는 것입니다. EPSS 수치가 0.00123으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적 심각성과 별개로 실제 야생(In-the-wild)에서 이 취약점을 이용해 권한 상승이나 정보 유출을 성공시킨 사례가 극히 드물다는 것을 의미합니다. 결과적으로 로컬 접근 권한과 커널 메모리 레이아웃에 대한 정밀한 제어 능력이 동시에 요구되므로, 일반적인 외부 공격보다는 특정 타겟을 대상으로 한 고도화된 로컬 권한 상승 시나리오에서 악용될 가능성이 큽니다.

• 가용성 저하 (DoS): 정상적인 암호화 API 호출이 커널 내부의 초기화되지 않은 값으로 인해 무작위로 실패하여 서비스 불능 상태 초래.
• 제한적 범위: CVSS 벡터(AV:L/PR:L) 및 분석 결과에 따라, 로컬 권한을 가진 사용자가 시스템의 암호화 기능을 방해하는 수준의 영향력을 가짐.

• 유형: Uninitialized Memory Use (CWE-908 추정).
• 체이닝 가능성: 초기화되지 않은 메모리 영역에 공격자가 제어 가능한 값을 배치할 수 있다면, 단순 DoS를 넘어 정보 유출이나 실행 흐름 조작으로 이어질 가능성이 있으나, 본 사례에서는 -EBUSY 반환으로 인한 가용성 이슈가 주된 현상임.

본 취약점은 커널 내부 메모리 상태에 의존하므로 전통적인 네트워크 IDS로는 탐지가 불가능하며, 시스템 콜 및 커널 로그 모니터링이 필수적입니다.

• 로그 지표:

  • dmesg 또는 /var/log/syslog: 암호화 관련 API 호출 실패 로그 확인.
  • Application Log: Crypto API 사용 애플리케이션에서 발생하는 EBUSY (Resource temporarily unavailable) 에러 빈도 급증.

• 탐지 규칙 예시:

  1. SIEM 쿼리 (의사코드):
     SELECT timestamp, pid, process_name FROM kernel_logs WHERE message CONTAINS "af_alg" AND message CONTAINS "-EBUSY" GROUP BY pid HAVING count(*) > threshold
  2. eBPF 기반 탐지 (추정):
     kprobe:af_alg_alloc_areq에서 리턴 값이 -16 (-EBUSY)인 경우를 트래킹하여, 특정 프로세스가 비정상적으로 많은 EBUSY를 유발하는지 감시.

• 오탐 튜닝:

  • 실제 시스템 부하로 인해 자원이 부족하여 발생하는 EBUSY와 구분 필요.
  • 동일한 API 요청이 반복적으로 실패하지만 CPU/Memory 사용량이 낮은 상태라면 본 취약점에 의한 오작동일 가능성이 높음.

다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 수치가 0.00123으로 매우 낮고 exploit 등급이 hard인 점, KEV에 미등재된 점을 근거로 우선순위를 monitor로 결정하였습니다.

• 즉시 (긴급 차단):

  • 조치: 불필요한 사용자의 AF_ALG 소켓 생성 제한 (추정: seccomp 프로파일을 통해 socket(AF_ALG, ...) 시스템 콜 차단).
  • 난이도/영향: 중간 / 암호화 API를 사용하는 특정 애플리케이션 기능 중단 가능성 있음.
  • 검증: strace를 통해 socket(AF_ALG, ...) 호출 시 EPERM 반환 확인.

• 단기 (완화):

  • 조치: 취약한 커널 버전의 시스템에서 암호화 가속 및 AIO 요청 빈도를 모니터링하고, 이상 징후 발생 시 해당 프로세스 재시작.
  • 난이도/영향: 낮음 / 일시적 서비스 복구만 가능하며 근본 해결 불가.
  • 검증: 에러 로그 발생률 감소 확인.

• 근본 (해결):

  • 조치: 영향받는 Linux 커널 버전을 패치 버전(예: 6.12.65+, 6.6.121+ 등 각 브랜치별 최신 수정본)으로 업데이트. sock_kmalloc 이후 메모리가 zero-initialize 되도록 수정된 코드가 적용되어야 함.
  • 난이도/영향: 높음 / 커널 업데이트 후 리부팅 필요, 가용성 일시 중단 및 회귀 테스트 필수.
  • 검증: uname -r로 버전 확인 및 패치 내역(commit) 반영 여부 검토.

잔여 리스크: 패치 이후에도 sock_kmalloc을 사용하는 다른 커널 모듈에서 유사한 초기화 누락 패턴이 존재할 가능성이 상존함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None