[단독분석] 분석 — CVE-2026-68431

• 심각도 critical · CVSS 9.1 · EPSS 0.00366 · 악용난이도 moderate

• 원격 공격자는 SMB 2.1 연결을 수립한 뒤, SMB2_TRANSFORM_PROTO_NUM 값을 가진 짧은 변환 패킷을 전송합니다.
• ksmbd는 이 경우 최소 PDU 크기 검증을 우회하므로 init_smb2_rsp_hdr()에서 전체 SMB2 헤더로 오해하고 요청 할당 영역을 초과 읽습니다.
• 읽힌 데이터가 그대로 클라이언트에게 반환되며, 서비스 중단(크래시)도 발생할 수 있습니다.

악용 가능성: AV:N(네트워크)·AC:L(낮은 복잡도)·PR:N(인증 불필요)·UI:N(사용자 상호작용 없음)이라는 CVSS 벡터는 공격자가 네트워크만 접근하면 별다른 사전 준비 없이 악용이 가능함을 의미합니다. EPSS 0.00366은 현재 관측된 실제 악용 확률이 0.366% 수준으로 낮지만, 완전히 배제되지 않으며 위험도가 “moderate”로 평가된 이유를 뒷받침합니다. KEV에 등재되지 않아 공개적인 악성코드나 공격 체계가 확인되지는 않았으나, 취약점 자체가 인증 없는 원격 클라이언트에게 SMB 2.1 변환 패킷을 전송하도록 허용하므로 이론적 위험은 존재합니다. 공격 표면은 기본적으로 TCP 445 포트를 통해 노출되는 SMB 서버이며, 특히 SMB2_TRANSFORM_PROTO_NUM을 이용한 짧은 transform 요청이 최소 PDU 크기 검증을 우회하는 것이 핵심 경로입니다. 해당 패킷이 수신되면 커널의 init_smb2_rsp_hdr()가 헤더 전체를 해석하면서 메모리 초과 읽기가 발생하고, 복사된 필드가 인증되지 않은 클라이언트에 반환될 수 있습니다. 따라서 공격 난이도는 낮고 악용 가능성은 제한적이지만, 네트워크 노출 환경에서는 여전히 주의가 필요합니다.

• 기술적 위험: 인증되지 않은 외부에서 메모리 내용이 유출될 수 있어, 커널 내부 구조·민감 정보(키, 토큰 등)가 노출될 가능성이 있습니다. 또한 잘못된 패킷 처리로 인해 ksmbd가 크래시하여 서비스 가용성이 저하될 수 있습니다.
• 비즈니스 영향: 데이터 유출은 규제·컴플라이언스 위반 위험을 초래하고, 시스템 중단은 서비스 수준 협약(SLA) 위반 및 고객 신뢰 손실로 이어질 수 있습니다.
• 영향 제품·노출 규모: 영향을 받는 제품은 “미상”으로 명시되어 있으나, Linux 커널에 포함된 ksmbd를 사용하는 모든 배포판(예: Ubuntu, Debian, RHEL 등)에서 동일하게 적용됩니다. 실제 노출 여부는 해당 시스템이 SMB 2.1 이상을 활성화하고 외부 네트워크와 직접 통신 가능한 경우에 한정됩니다.

• 추정: 최소 PDU 크기 검증 누락과 유사한 메모리 경계 초과 버그(CWE‑125) / 잘못된 입력 검증(CWE‑20)은 과거 SMB·SMB2 스택에서 연쇄적으로 악용되어 권한 상승이나 원격 코드 실행으로 이어진 사례가 있습니다.
• 해당 취약점은 변환 헤더와 SMB2 헤더를 동시에 검사하도록 수정함으로써, 기존의 “압축/암호화 변환 우회” 패턴을 차단합니다.

• ksmbd 로그에 “invalid PDU size” 혹은 “short transform packet” 와 같은 오류 메시지가 기록되는 경우.
• 네트워크 IDS/IPS에서 SMB2 프로토콜 식별자 SMB2_TRANSFORM_PROTO_NUM을 포함하고, 전체 패킷 길이가 SMB2_MIN_SUPPORTED_PDU_SIZE(≈ 64 바이트)보다 짧은 트래픽을 탐지합니다.
• 커널 모니터링 도구(e.g., auditd, ftrace)를 이용해 init_smb2_rsp_hdr() 호출 전후의 메모리 접근 오류를 캡처합니다.

• 즉시 조치: Linux 배포판에서 제공하는 최신 커널 패치를 적용하여 ksmbd 수정을 반영하십시오.
• 패키지 업데이트가 어려운 경우: ksmbd 서비스를 비활성화하거나, SMB 2.1 이하 버전만 허용하도록 smb.conf·시스템 방화벽 규칙을 조정해 변환 프로토콜 사용을 차단합니다.
• 장기 대책: 정기적인 커널 보안 업데이트 정책을 수립하고, 외부 네트워크에 대한 SMB 포트(445/TCP) 접근을 최소화하도록 제로 트러스트 원칙을 적용하십시오.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00366 · exploit=moderate · in_scope=None