[분석가] 분석 — CVE-2024-46786

• 심각도 high · CVSS 7.8 · EPSS 0.00224 · 악용난이도 hard

(1) 트리거 조건: fscache 모듈이 로드된 상태에서 timer_reduce()가 호출되어 fscache_cookie_lru_timer가 현재 CPU의 타이머 리스트에 추가된 후, 해당 타이머가 삭제되지 않은 채로 fscache 모듈이 제거(unload)될 때 발생합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 시스템에 대한 일반 사용자 권한(PR:L) 확보.
• 실행 및 트리거: fscache 모듈의 타이머를 활성화시킨 후 모듈을 제거하여 메모리 해제 유도.
• 영향 발생: 이후 SoftIRQ 컨텍스트에서 이미 해제된 메모리 영역(fscache_cookie_lru_timer)에 접근하여 Use-After-Free(UAF) 발생 $\rightarrow$ Kernel Panic 또는 권한 상승 시도.
  (3) 공격 표면: Linux 커널의 fscache 모듈 인터페이스 및 모듈 관리 기능.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 접근 권한이 필요함.
• AC:L (Low): 특정 조건(타이머 활성화 후 제거)만 맞으면 트리거가 용이함.
• PR:L (Low): 낮은 수준의 사용자 권한으로 모듈 관련 동작 유도 가능 추정.
• UI:N (None): 사용자 상호작용 없이 실행 가능.

악용 가능성: 본 취약점은 fscache 모듈 제거 시 타이머 객체가 적절히 삭제되지 않아 발생하는 Use-After-Free(UAF) 결함입니다. 공격 벡터가 AV:L 및 PR:L인 점을 고려할 때, 공격자는 시스템에 대한 로컬 접근 권한과 커널 모듈을 조작하거나 언로드할 수 있는 낮은 수준의 특권 권한을 이미 보유해야 하므로 진입 장벽이 높습니다. 특히 timer_reduce() 호출 후 모듈을 제거하여 softIRQ에서 유효하지 않은 메모리 참조를 유도해야 하는 정교한 트리거 조건이 필요하므로 공격 난이도는 Hard로 판정됩니다. EPSS 수치가 0.00224로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 관측되지 않았음을 시사하며, 이는 이론적 심각도와 별개로 실질적인 즉시 위협 가능성이 낮음을 의미합니다. 주요 공격 표면은 Linux 커널의 fscache 모듈 인터페이스 및 관련 타이머 관리 메커니즘이며, 로컬 환경에서 커널 메모리 오염을 통한 권한 상승이나 시스템 크래시(DoS)를 유도하는 경로로 활용될 수 있습니다.

(1) 기술적 위험:

• 서비스 중단: 커널 모드에서의 Page Fault로 인한 시스템 크래시(Kernel Panic/Oops) 및 가용성 상실.
• 권한 상승: UAF 취약점의 특성상, 해제된 메모리 영역을 공격자가 제어 가능한 데이터로 재구성할 경우 커널 권한 획득 가능성 존재.
  (2) 비즈니스 영향:
• 시스템 가용성 저해: 서버 다운타임 발생으로 인한 서비스 중단.
• 신뢰도 하락: 로컬 권한을 가진 공격자가 루트 권한을 획득할 경우 데이터 무결성 및 기밀성 파괴 위험.

(1) 유형 및 패턴: Memory-Corruption (CWE-416: Use-After-Free).
(2) 체이닝 시나리오: 추정: [로컬 권한 획득] $\rightarrow$ [fscache UAF를 통한 커널 메모리 오염] $\rightarrow$ [권한 상승(LPE)] 순으로 이어지는 체인이 가능할 것으로 보입니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 BUG: unable to handle page fault, Oops: 0000, RIP: __run_timer_base 등의 패턴 확인.
(2) 탐지 규칙 예시:

• 로직: fscache 모듈 제거 이벤트와 직후 발생하는 커널 패닉 로그의 시간적 인접성 분석.
• SIEM 쿼리 예시: process.name == "rmmod" AND process.args CONTAINS "fscache" FOLLOWED BY (log.message CONTAINS "page fault" AND log.message CONTAINS "fscache_cookie_lru_timer")
  (3) 오탐 시나리오 및 튜닝: 정상적인 모듈 업데이트 과정에서 발생할 수 있는 일시적 불안정성과 구분하기 위해, 비정상적으로 짧은 간격의 로드/언로드 반복 패턴을 함께 분석하여 튜닝합니다.

• 즉시(긴급 차단): fscache 모듈의 언로드(unload) 기능을 제한하거나 금지 설정 적용. (난이도: 하 / 영향: 낮음 / 검증: rmmod fscache 실행 시 거부 확인)
• 단기(완화): 불필요한 경우 fscache 모듈을 로드하지 않도록 블랙리스트 처리(modprobe.d). (난이도: 하 / 영향: 해당 기능 미사용 시 없음 / 검증: lsmod | grep fscache 결과 확인)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업데이트.
  • 영향 제품 범위: linux_kernel 5.176.1.160, 6.26.6.51, 6.7~6.10.10 등. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 가용성 저하 / 검증: uname -r 버전 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00224) 수치가 매우 낮고 KEV에 등재되지 않았으며 악용 난이도가 hard로 평가됨에 따라 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이는 이론적 심각도(CVSS 7.8)보다 실제 야생에서의 악용 가능성이 현저히 낮음을 반영한 결과입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00224 · exploit=hard · in_scope=None