[방어] 분석 — CVE-2025-22005

• 심각도 medium · CVSS 5.5 · EPSS 0.00187 · 악용난이도 hard

(1) 트리거 조건: fib6_nh_init() 함수 내에서 alloc_percpu_gfp()가 실패할 때, 앞서 할당된 fib6_nh->nh_common.nhc_pcpu_rth_output 메모리를 해제하지 않고 반환하는 결함입니다. 특정 조건의 IPv6 라우팅 경로 생성/수정 시도가 반복적으로 실패하도록 유도하여 커널 메모리 누수를 일으킵니다.
(2) 공격 단계:

• 초기 접근: 로컬 계정 권한(PR:L)을 가진 공격자가 시스템에 접속합니다.
• 실행: IPv6 네트워크 설정이나 라우팅 테이블 조작 등을 통해 fib_check_nh_v6_gw() 및 fib6_nh_init() 경로를 반복적으로 트리거합니다.
• 영향: 메모리가 점진적으로 고갈되어 시스템 성능 저하 또는 커널 패닉(Kernel Panic)으로 인한 서비스 중단이 발생합니다.
  (3) 공격 표면: Linux Kernel IPv6 Stack, 특히 IPv6 Forwarding Information Base (FIB) 및 Next Hop (nh) 관련 내부 함수입니다.
  (4) CVSS 벡터 연결: AV:L (로컬 접근 필요), PR:L (낮은 수준의 권한 필요), UI:N (사용자 상호작용 불필요). 즉, 이미 시스템에 계정을 가진 사용자가 내부적으로 메모리를 고갈시키는 시나리오입니다.

악용 가능성: 본 취약점은 Linux kernel의 IPv6 라우팅 경로 생성 과정에서 발생하는 Memory Leak으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건이 붙어 있어, 공격자가 이미 시스템에 낮은 권한(Low Privilege)으로 접근하여 로컬 셸을 확보한 상태여야만 트리거가 가능합니다. 공격 표면은 IPv6 네이버링 및 라우팅 테이블 업데이트와 관련된 커널 내부 함수(fib_check_nh_v6_gw)이며, 특정 조건에서 메모리 할당 실패를 유도해 자원을 고갈시키는 방식으로 동작합니다. EPSS 수치가 0.00187로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 드물며, 단순한 서비스 거부(DoS) 외의 권한 상승으로 이어질 가능성이 이론적 심각도보다 낮음을 시사합니다. 결론적으로 로컬 접근 권한이 없는 외부 공격자에게는 노출되지 않으나, 내부 침투 후 시스템 가용성을 떨어뜨리려는 목적의 악용 가능성이 존재합니다.

(1) 기술적 위험: 커널 영역에서의 Memory Leak으로 인한 가용성 침해(Denial of Service). 지속적인 누적 시 OOM(Out Of Memory) Killer가 작동하여 중요 프로세스를 종료시키거나 시스템 전체가 중단될 수 있습니다.
(2) 비즈니스 영향: 서버 가용성 상실로 인한 서비스 중단 및 이에 따른 SLA 위반 가능성이 있습니다. 다만, 로컬 권한이 필요하므로 외부에서 즉시 시스템을 다운시키는 직접적인 경로보다는 내부 위협 또는 체이닝된 공격의 최종 단계로 작용합니다.

• 추정: 본 취약점은 단독으로 데이터 유출이나 권한 상승을 일으키지는 않으나, 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 시스템의 안정성을 무너뜨려 보안 솔루션(EDR/IDS) 프로세스를 OOM으로 강제 종료시킨 후 공격 활동을 은폐하는 용도로 활용될 수 있습니다.

(1) 로그 지표:

• /var/log/syslog 또는 dmesg 내의 out of memory, Killed process, slab 메모리 부족 관련 경고 메시지.
• IPv6 라우팅 설정 변경과 관련된 시스템 콜 로그(Auditd).
  (2) 탐지 규칙:
• SIEM 쿼리 (의사코드):
  SELECT host, timestamp FROM kernel_logs WHERE message MATCHES '.*out of memory.*' AND (message MATCHES '.*ipv6.*' OR process == 'kworker') GROUP BY host HAVING count(*) > threshold
• 메모리 모니터링: slabtop 또는 /proc/slabinfo에서 nhc_pcpu_rth_output 관련 슬랩 캐시의 사용량이 비정상적으로 지속 증가하는지 확인.
  (3) 오탐 튜닝: 정상적인 네트워크 설정 변경 작업이나 대규모 IPv6 라우팅 업데이트 시 일시적 메모리 상승이 있을 수 있습니다. 특정 시간 내에 동일한 패턴의 할당 실패 로그가 반복되는 임계값을 설정하여 튜닝합니다.

• 즉시(긴급 차단): 불필요한 IPv6 포워딩 기능을 비활성화하거나, 신뢰할 수 없는 사용자의 네트워크 설정 변경 권한(CAP_NET_ADMIN)을 엄격히 제한합니다.
  • 난이도: 낮음 / 운영 영향: 낮음 (IPv6 미사용 시) / 검증: sysctl net.ipv6.conf.all.forwarding=0 확인 / 우선순위: 높음.
• 단기(완화): 커널 메모리 모니터링 툴을 통해 Slab 메모리 누수를 감시하고, 이상 징후 발생 시 시스템 재부팅 스케줄링 또는 프로세스 재시작 전략을 수립합니다.
  • 난이도: 중간 / 운영 영향: 낮음 / 검증: slabtop 모니터링 / 우선순위: 중간.
• 근본(해결): 영향받는 버전(5.3~6.13.9 등)에서 패치가 적용된 최신 커널 버전으로 업데이트합니다. (특히 fib_nh_common_release() 호출이 추가된 수정 버전 적용).
  • 난이도: 중간 / 운영 영향: 높음 (재부팅 필요) / 검증: uname -r 및 패치 커밋 반영 확인 / 우선순위: 최고.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 신뢰도 1.0의 정보를 바탕으로 작성되었습니다. 실측 EPSS 값(0.00187, 백분위 0.08569)과 AV:L, PR:L 조건 및 KEV 미등재 사실을 근거로 실제 악용 가능성이 낮다고 판단하여 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00187 · exploit=hard · in_scope=None