[단독분석] 분석 — CVE-2026-23086

• 심각도 medium · CVSS 5.5 · EPSS 0.00142 · 악용난이도 hard

본 취약점은 vsock/virtio 전송 계층에서 TX credit을 결정할 때 로컬 설정값이 아닌 원격 엔드포인트가 제공하는 SO_VM_SOCKETS_BUFFER_SIZE 값을 그대로 신뢰하는 설계 결함에서 발생합니다.

1. 경로: 악의적인 Guest(Host 공격 시) 또는 Host(Guest 공격 시)가 매우 큰 버퍼 사이즈를 광고(Advertise)합니다.
2. 촉발: 공격자가 데이터를 천천히 읽어 들여 큐에 데이터가 쌓이게 유도합니다.
3. 결과: 상대방의 설정값에 따라 Host/Guest 시스템이 과도한 양의 sk_buff 메모리를 할당하게 되어 자원 고갈을 유발합니다.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터에 따라 공격자가 대상 시스템에 이미 낮은 권한의 계정을 보유하고 있거나, 가상화 환경에서 Guest-to-Host 또는 Host-to-Guest 간의 통신 경로를 확보한 상태여야 실행 가능합니다. 공격 표면은 vsock/virtio 전송 계층의 SO_VM_SOCKETS_BUFFER_SIZE 파라미터이며, 악성 엔드포인트가 비정상적으로 큰 버퍼 크기를 광고(Advertise)하여 상대측의 메모리 할당을 유도하는 방식으로 트리거됩니다. 특히 Host가 Guest가 설정한 버퍼 크기에 따라 sk_buff 메모리를 할당하게 되는 설계 결함을 이용하므로, 자원 고갈을 통한 서비스 거부(DoS) 유발 가능성이 존재합니다. 다만 EPSS 수치가 0.00142로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사하며, 이는 이론적 심각도와 별개로 실제 공격 발생 확률이 낮음을 의미합니다. 결과적으로 로컬 권한 획득 및 가상화 인터페이스 제어라는 전제 조건과 낮은 실측 위협 지표를 종합할 때, 공격 난이도는 hard 수준으로 판단됩니다.

• 기술적 위험: 가용성 저해(Denial of Service). 공격자가 의도적으로 대량의 커널 메모리를 점유하게 함으로써 시스템 성능 저하 또는 OOM(Out of Memory) Killer에 의한 프로세스 강제 종료를 유발할 수 있습니다. 데이터 유출이나 권한 상승으로 이어지는 직접적인 경로는 확인되지 않았습니다.
• 영향 제품 및 규모: Linux Kernel 4.8부터 최신 버전(6.18.8 등)까지 광범위하게 영향을 받습니다. 다중 소스 교차검증 결과 데이터 일관성이 확인(신뢰도 1.0)되었으며, 영향 받는 커널 버전이 매우 다양하여 가상화 환경을 사용하는 인프라 전반에 걸쳐 노출 규모가 클 것으로 분석됩니다.
• 비즈니스 리스크: 가상 머신(VM) 기반의 클라우드 서비스나 호스트-게스트 통신이 빈번한 환경에서 특정 VM의 악의적인 동작으로 인해 전체 호스트 시스템의 안정성이 위협받을 수 있습니다. 이는 서비스 가용성 저하 및 인프라 신뢰도 하락으로 이어질 수 있습니다.

• 유형: Resource Exhaustion / Memory Management.
• 체이닝 가능성: 단독으로는 DoS에 그치지만, 추정: 커널 메모리 압박 상태에서 발생하는 다른 레이스 컨디션이나 메모리 오염 취약점과 결합할 경우 영향도가 확대될 가능성이 있습니다.

• 메모리 모니터링: slabtop 또는 /proc/meminfo를 통해 skbuff_head_cache 등 커널 네트워크 버퍼 관련 메모리 사용량이 비정상적으로 급증하는지 확인합니다.
• 패턴 예시: vsock 통신 과정에서 비정상적으로 큰 SO_VM_SOCKETS_BUFFER_SIZE 값이 설정되는 네트워크 트래픽이나 시스템 콜 호출 패턴을 모니터링합니다.

• 근본 해결: virtio_transport_tx_buf_size() 헬퍼 함수가 도입된 최신 커널 패치를 적용하여 TX window가 로컬의 buf_alloc 값으로 제한되도록 업데이트합니다.
• 즉시 조치 및 우선순위: 본 건은 CVSS 5.5, EPSS 0.00142(실측값)로 실제 야생 악용 가능성이 낮고 exploit 난이도가 'hard'로 평가되어, 규칙 기반 우선순위에 따라 monitor(모니터링) 단계로 분류됩니다. 따라서 즉각적인 긴급 패치보다는 정기 업데이트 주기에 맞춘 적용을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00142 · exploit=hard · in_scope=None