[공격] 분석 — CVE-2024-57973

• 심각도 medium · CVSS 5.5 · EPSS 0.00241 · 악용난이도 hard

(1) 트리거 조건: 32-bit 아키텍처 시스템에서 rdma/cxgb4 드라이버 사용 시 발생. 사용자 제어가 가능한 gl->tot_len 변수에 sizeof(struct cpl_pass_accept_req) 및 sizeof(struct rss_header)를 더하는 과정에서 Integer Wrapping(Overflow)이 발생하여 메모리 할당 크기가 비정상적으로 작게 계산되는 지점을 공격.

(2) 공격 단계:

• 정찰: 대상 시스템의 아키텍처가 32-bit인지, cxgb4 RDMA 드라이버가 로드되어 있는지 확인.
• 초기 접근: Local User 권한 확보 (AV:L, PR:L).
• 실행/영향: process_responses() 함수를 통해 제어 가능한 입력값을 전달하여 Integer Overflow 유도 $\rightarrow$ 잘못된 크기의 메모리 할당 또는 버퍼 오버플로우 트리거 $\rightarrow$ Kernel Panic 발생.
• 전제 조건: 32-bit OS 환경 및 RDMA 하드웨어/드라이버 활성화 상태여야 함.

(3) 공격 표면:

• 엔드포인트/함수: rdma/cxgb4 드라이버 내 process_responses() 함수.
• 파라미터: gl->tot_len (사용자 입력 기반 변수).
• 프로토콜: RDMA(Remote Direct Memory Access) 관련 통신 스택.

(4) CVSS 벡터 분석:

• AV:L/PR:L: 로컬 권한을 가진 사용자가 직접 트리거해야 하므로 원격 공격은 불가능함.
• AC:L/UI:N: 복잡한 상호작용이나 사용자 개입 없이 입력값 조작만으로 실행 가능.
• A:H: 결과적으로 커널 크래시를 유발하여 시스템 가용성을 완전히 파괴함.

악용 가능성: 본 취약점은 32bit Linux 시스템의 rdma/cxgb4 드라이버 내에서 발생하는 Integer Overflow로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에서 알 수 있듯, 공격자는 이미 시스템에 로그인한 저권한 계정을 보유해야 하며 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 RDMA 응답 처리 과정의 process_responses() 함수이며, 사용자가 제어 가능한 gl->tot_len 파라미터에 비정상적인 값을 주입하여 메모리 래핑(Wrapping)을 유도하는 것이 핵심입니다. EPSS 수치가 0.00241로 매우 낮고 KEV에 등재되지 않은 점은, 실제 야생(In-the-wild)에서 이 조건(32bit 환경 + 특정 RDMA 하드웨어 드라이버 사용 + 로컬 권한 확보)을 모두 충족하여 악용된 사례가 극히 드물음을 시사합니다. 그러나 이론적으로는 정수 오버플로우를 통해 힙 영역의 경계 검사를 우회하고 임의 메모리 쓰기(Arbitrary Write)로 이어질 수 있어, 로컬 권한 상승(LPE)을 위한 체이닝 경로로 활용될 가능성이 존재합니다. 결과적으로 외부 노출 접점은 없으나, 내부 침투 후 권한 상승을 노리는 정밀한 타겟팅 공격 시나리오에서만 실효성을 갖는 취약점입니다.

(1) 기술적 위험:

• 서비스 중단 (DoS): Integer Overflow로 인한 잘못된 메모리 접근은 Kernel Panic을 유발하며, 이는 즉각적인 시스템 리부팅이나 정지로 이어짐.
• 추정: 메모리 오염 범위에 따라 제한적인 상황에서 권한 상승(LPE) 가능성을 배제할 수 없으나, 현재 데이터로는 DoS가 주된 위험임.

(2) 비즈니스 영향:

• 가용성 침해: RDMA를 사용하는 고성능 컴퓨팅(HPC) 또는 스토리지 서버의 가동 중단으로 인한 서비스 장애 발생.
• 신뢰도 하락: 시스템 불안정성 증가로 인한 인프라 신뢰성 저하.

• 체이닝 패턴: Local User Access $\rightarrow$ Integer Overflow (CWE-190) $\rightarrow$ Heap Buffer Overflow / Out-of-bounds Write $\rightarrow$ Kernel Panic (DoS).
• 추정: 만약 공격자가 커널 메모리 레이아웃을 정밀하게 제어할 수 있다면, 단순 DoS를 넘어 Arbitrary Write 패턴으로 체이닝하여 권한 상승(Privilege Escalation)을 시도하는 경로가 존재할 수 있음.

(1) 로그 지표:

• /var/log/syslog 또는 dmesg에서 cxgb4 드라이버 관련 Kernel panic, General protection fault, Unable to handle kernel paging request 메시지 확인.

(2) 탐지 규칙 예시:

• 로직: dmesg 출력물 중 cxgb4와 overflow 또는 panic 키워드가 동시에 등장하는 패턴 감시.
• 정규식: /(cxgb4).* (kernel panic|paging request|segmentation fault)/i

(3) 오탐 시나리오 및 튜닝:

• 하드웨어 결함이나 드라이버 자체의 불안정성으로 인한 일반적인 크래시와 구분하기 어려움. 특정 사용자 계정이 RDMA 관련 시스템 호출을 비정상적으로 많이 수행하는지 함께 모니터링하여 튜닝 필요.

• 즉시 (긴급 차단): 32-bit 시스템에서 cxgb4 드라이버를 사용하지 않는 경우, modprobe -r cxgb4 또는 /etc/modprobe.d/blacklist.conf에 추가하여 드라이버 로드 차단. (난이도: 하 / 영향: 해당 기능 사용 불가)
• 단기 (완화): RDMA 접근 권한을 최소한의 신뢰할 수 있는 사용자/그룹으로 제한하여 공격 표면(Local Access) 축소. (난이도: 중 / 영향: 운영 프로세스 변경 필요)
• 근본 (해결): Linux Kernel 패치 버전(6.1.130+, 6.6.77+, 6.12.14+ 등 해당 버전별 수정본)으로 업데이트하여 size_add() 함수 적용 확인. (난이도: 중 / 영향: 커널 업데이트 후 리부팅 필요, 가용성 일시 중단)

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석함.
• EPSS: 실측값 0.00241 (백분위 0.15386)은 이론적 CVSS 점수와 별개로 실제 야생에서 악용될 확률이 매우 낮음을 의미함.
• 우선순위 결정: monitor 등급 부여. 논거는 non-KEV, EPSS 저수치, AV:L(로컬 접근 필요), exploit=hard 조건이 결합되어 즉각적인 대규모 위협보다는 잠재적 위험으로 분류함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00241 · exploit=hard · in_scope=None