[분석가] 분석 — CVE-2025-71113

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 원리: af_alg 모듈 내에서 sock_kmalloc()을 통해 할당된 메모리가 0으로 초기화되지 않은 채 사용되는 Uninitialized Memory 취약점입니다.
• 경로: 특히 af_alg_ctx 구조체의 inflight 변수가 쓰레기 값(garbage value)을 가진 상태에서, af_alg_alloc_areq() 함수가 이를 논리적 참(true)으로 해석하여 무작위로 -EBUSY 에러를 반환합니다.
• 단계: 로컬 권한을 가진 사용자가 Crypto User API를 호출 $\rightarrow$ 초기화되지 않은 컨텍스트 메모리 할당 $\rightarrow$ inflight 변수의 쓰레기 값으로 인한 요청 거부 및 프로세스 오작동 유발.

악용 가능성: 본 취약점은 Linux kernel의 af_alg 인터페이스 내 sock_kmalloc()으로 할당된 메모리가 제로 초기화되지 않아 발생하는 Uninitialized Memory Use 취약점입니다. 공격 벡터가 AV:L(Local)이며 낮은 권한(PR:L)을 전제로 하므로, 공격자는 이미 시스템에 접근 권한을 가진 로컬 사용자로 로그인하여 커널 인터페이스에 접근해야 합니다. 공격 표면은 af_alg 소켓 API를 통한 암호화 요청 및 컨텍스트 생성 과정이며, 특히 af_alg_ctx 구조체의 inflight 변수와 같은 미초기화 필드가 트리거 지점이 됩니다. 다만, 복잡한 메모리 레이아웃 조작이 필요하고 공격 조건이 까다로워 난이도는 hard로 판정됩니다. EPSS 수치가 0.00123으로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 관측되지 않았음을 시사하며, 이론적 심각도에 비해 즉각적인 대규모 공격 가능성은 낮은 것으로 분석됩니다.

• 기술적 위험:
  • 가용성 저하 (DoS): 특정 조건에서 Crypto API 요청이 무작위로 실패하여 서비스 중단 또는 애플리케이션의 비정상 동작을 초래합니다.
  • 영향 범위: Linux 커널 2.6.38.1부터 6.18.3까지 광범위한 버전(총 8개 제품군)이 영향을 받으므로, 다양한 배포판 및 임베디드 환경에서 노출 규모가 매우 클 것으로 판단됩니다.
• 비즈니스 리스크:
  • 암호화 라이브러리를 사용하는 서비스의 예측 불가능한 응답 실패로 인한 시스템 신뢰도 하락 및 가용성 손실이 발생할 수 있습니다. 다만, 권한 요구 사항(PR:L)과 공격 벡터(AV:L)를 고려할 때 외부망을 통한 직접적인 침투보다는 내부 사용자나 이미 침투한 공격자에 의한 가용성 훼손 리스크가 주된 위협입니다.

• 패턴: 메모리 초기화 누락으로 인한 정보 유출(Information Leak)이나 권한 상승(Privilege Escalation)으로 이어질 가능성이 있는 전형적인 Uninitialized Variable 패턴입니다.
• 체이닝: 추정: 단독으로는 가용성 저하에 그치나, 커널 메모리의 쓰레기 값을 이용해 다른 메모리 레이아웃을 추측하는 정찰 단계의 체이닝 도구로 활용될 가능성이 있습니다.

• 시스템 로그: 커널 로그(dmesg) 또는 애플리케이션 로그에서 Crypto API 호출 시 예기치 않은 -EBUSY (Resource temporarily unavailable) 에러가 빈번하게 발생하는지 모니터링합니다.
• 패턴 예시: af_alg 관련 시스템 콜 및 sock_kmalloc 할당 이후 초기화 과정 없이 해당 메모리 영역에 접근하는 커널 동작 패턴을 추적합니다.

• 근본 해결: 영향 받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 sock_kmalloc으로 할당된 메모리가 zero-initialize 되도록 조치합니다.
• 즉시 조치:
  • 불필요한 사용자의 로컬 접근 권한을 제한하여 공격 표면(AV:L, PR:L)을 최소화합니다.
  • 해당 취약점은 다중 소스 교차검증을 통해 일관성이 확인되었으나, EPSS 실측값이 0.00123으로 매우 낮고 악용 난이도가 hard이며 KEV에 등재되지 않았으므로 우선순위를 monitor로 설정하여 패치 계획을 수립할 것을 권장합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None