[분석가] 분석 — CVE-2025-71097

• 심각도 medium · CVSS 5.5 · EPSS 0.00114 · 악용난이도 hard

본 취약점은 Linux 커널의 IPv4 스택에서 nexthop 객체 삭제 시 특정 조건의 에러 경로(Error routes, 예: blackhole)가 적절히 플러시(flush)되지 않아 발생하는 Reference Count Leak입니다.

1. 경로 생성: 공격자가 권한을 가지고 ip nexthop 및 이를 참조하는 blackhole 라우트를 생성합니다.
2. 객체 삭제: 해당 nexthop 객체를 삭제하면, 일반 경로는 제거되나 에러 경로는 fib_table_flush() 로직의 한계로 인해 잔존합니다.
3. 자원 누수 유발: 잔존한 에러 경로가 nexthop 및 관련 네트워크 장치(netdevice)에 대한 참조를 계속 유지하여, 장치 삭제 시도 시 unregister_netdevice 단계에서 대기 상태에 빠지며 메모리 및 커널 자원이 해제되지 않는 상태가 됩니다.

악용 가능성: 본 취약점은 Linux kernel의 IPv4 스택 내 nexthop 객체 삭제 시 특정 조건의 error routes(예: blackhole)가 제대로 플러시되지 않아 발생하는 Reference count leak입니다. 공격 벡터(AV:L)와 권한 요구사항(PR:L)에 따라, 공격자는 시스템에 이미 로그인하여 네트워크 설정을 변경할 수 있는 일반 사용자 수준의 로컬 권한을 보유해야 합니다. 공격 표면은 ip nexthop 및 ip route와 같은 네트워크 설정 인터페이스를 통한 커널 내 객체 조작으로 한정되며, 특정 시퀀스로 nexthop을 생성·삭제하여 리소스 누수를 유도하는 트리거 조건이 필요합니다. EPSS 수치가 0.00114로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실질적인 공격 가능성은 낮습니다. 결과적으로 로컬 권한이 전제되어야 하고 복잡한 커널 객체 상태 제어가 필요하므로 공격 난이도는 'Hard'로 판단됩니다.

• 기술적 위험: 본 취약점의 핵심 결과는 **서비스 거부(Denial of Service, DoS)**입니다. CVSS 벡터(A:H)와 설명에서 확인되듯, 참조 횟수 누수로 인해 네트워크 인터페이스가 정상적으로 제거되지 않거나 커널 메모리 자원이 고갈되어 시스템 불안정성을 초래할 수 있습니다. 데이터 유출이나 권한 상승으로 이어질 직접적 근거는 미관측되었습니다.
• 비즈니스 리스크: 영향 범위가 Linux 커널 5.3.1부터 6.18.4까지 매우 광범위하며 다수의 배포판에 영향을 줄 수 있는 공급망 특성을 가집니다. 네트워크 설정 변경이 빈번한 클라우드 인프라나 가상화 환경에서 가용성 저하 및 시스템 재부팅 필요성으로 인한 서비스 중단 리스크가 존재합니다.
• 분석 근거: 다중 소스 데이터 간 일관성이 확인되어 신뢰도가 높으며(1.0), CVSS 5.5의 Medium 등급을 유지하고 있습니다.

커널 내 메모리 관리 및 참조 횟수 계산 오류와 관련된 전형적인 자원 누수 패턴입니다. 추정: 다른 커널 권한 상승(LPE) 취약점과 체이닝될 경우, 시스템 가용성을 떨어뜨려 방어 기제를 무력화하거나 특정 조건의 패닉을 유도하는 용도로 활용될 가능성이 있습니다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 네트워크 장치 삭제 시 발생하는 대기 메시지를 탐지합니다.
  • 패턴 예시: unregister_netdevice: waiting for .* to become free. Usage count = [1-9]
• 설정 상태 확인: ip route show 명령을 통해 삭제된 nhid를 여전히 참조하고 있는 blackhole 경로가 존재하는지 확인합니다.

• 근본 해결: 영향받는 버전(5.3.1 ~ 6.18.4 범위 내)의 Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 fib_table_flush() 로직 수정을 반영합니다.
• 즉시 조치 및 우선순위: 본 취약점은 EPSS 0.00114(낮은 실제 악용 확률) 및 공격 난이도 Hard, KEV 미등재 상태로 규칙 기반 분석 결과 'Monitor(모니터링)' 수준의 우선순위를 가집니다. 즉각적인 긴급 패치보다는 정기 업데이트 주기에 맞춰 적용하되, 위 탐지 지표를 통해 이상 징후를 모니터링하는 것을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00114 · exploit=hard · in_scope=None