[단독분석] 분석 — CVE-2026-23475

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 로컬 사용자가 SPI 디바이스의 sysfs 속성을 접근하면, 아직 할당되지 않은 per‑cpu 통계 구조체에 대한 포인터가 NULL 상태인 채로 참조됩니다.
• 이 과정에서 커널이 NULL‑pointer dereference를 일으켜 패닉(panic) 및 시스템 중단을 초래합니다.
• CVSS 벡터(AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)와 동일하게, 공격자는 로컬 권한만으로 실행 가능하며 사용자 상호작용이 필요 없습니다.

악용 가능성: 이 취약점은 로컬 공격자(L) 가 시스템에 물리적 접근 또는 루트 권한을 보유하고 있을 경우, CVSS 벡터 AV:L/AC:L/PR:L/UI:N 에 따라 매우 낮은 난이도로 악용할 수 있습니다. 공격자는 spi 드라이버가 제공하는 sysfs 속성 파일에 접근해 컨트롤러가 통계 구조를 할당하기 전 상태를 읽으면 NULL‑pointer dereference 가 발생합니다. EPSS 값 0.00123 은 현재 관측된 실제 악용 사례가 거의 없지만 완전히 배제되지 않음을 나타내며, KEV 에 등재되지 않은 점은 대규모 악용이 아직 보고되지 않았다는 의미입니다. 노출되는 공격 표면은 Linux

• 기술적 위험: NULL‑pointer dereference에 의해 커널 패닉이 발생하므로 가용성(Availability)만 영향을 받습니다(C:C N, I:N, A:H). 데이터 유출·시스템 장악·횡적 이동은 보고되지 않았습니다.
• 비즈니스 리스크: 서비스 중단으로 인한 SLA 위반, 운영 비용 증가 및 고객 신뢰도 저하가 발생할 수 있습니다. 특히 산업용·임베디드·클라우드 환경에서 동일 커널을 사용하는 다수 시스템에 영향을 미칠 가능성이 있습니다.
• 영향 제품·노출 규모: Linux kernel 6.0‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 및 그 외 모든 6.x 라인(다중 소스에서 일관성이 확인됨[교차검증])에 적용됩니다.
• 공급망 특성: 품질 신호에 따르면 영향을 받는 커널 버전이 다수 존재하므로, 해당 커널을 포함하는 배포판·컨테이너 이미지·임베디드 펌웨어 전반에 걸쳐 광범위하게 노출될 수 있습니다.

• 동일한 sysfs 경로를 이용한 다른 로컬 권한 상승(LPE) 취약점과 결합하면, 초기 공격자는 시스템 전체 제어권을 획득할 가능성이 있습니다.
• 현재 확인된 직접적인 연계 CVE 번호는 없으나, SPI 드라이버와 관련된 과거 커널 버그(CVE‑2022‑XXXX 등)와 유사한 접근 방식이 존재함을 참고하시기 바랍니다.

• 커널 로그: dmesg 또는 /var/log/kern.log에 “NULL pointer dereference” 및 “spi core” 관련 oops 메시지가 기록됩니다.
• 감사 로그: auditd가 sysfs 경로(/sys/bus/spi/...)에 대한 읽기/쓰기 시도를 감시하도록 규칙을 추가하면 탐지가 가능합니다.
• 서비스 모니터링: 시스템 재부팅 혹은 서비스 비정상 종료 이벤트와 함께 해당 커널 패닉이 발생했는지 확인합니다.

1. 즉시 조치
   • 해당 SPI 디바이스의 sysfs 속성 접근 권한을 제한합니다(예: chmod 000 /sys/bus/spi/devices/*/statistics).
   • SELinux/AppArmor 등 보안 프로파일에서 해당 경로에 대한 읽기·쓰기 규칙을 차단합니다.
2. 근본 해결
   • 상위 배포판이 제공하는 최신 패치를 적용하거나, 커널 소스 트리에서 spi: fix statistics allocation 패치를 포함한 버전(6.19.11 이상 등)으로 업그레이드합니다.
3. 우선순위 판단 근거
   • EPSS 0.00123(실측값)과 “hard” 등급, KEV 미등재, CVSS 5.5를 종합해 우선순위는 ‘monitor’로 결정되었습니다[우선순위 결정]. 다만, 광범위한 영향 제품군과 공급망 특성을 고려하여 가능한 한 빠른 패치 적용을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None