[분석가] 분석 — CVE-2025-68291

• 심각도 미상 · CVSS 미상 · EPSS 0.00187 · 악용난이도 hard

• 원리: mptcp_do_fastclose() 함수 내에서 rcv_mss 값이 초기화되지 않은 상태(0)로 tcp_send_active_reset()이 호출될 때 발생합니다.
• 경로: 이후 __tcp_select_window() 함수가 실행되는 과정에서 0으로 나누기(divide-by-zero) 연산이 수행되어 커널 패닉(Kernel Panic)을 유발합니다.
• 단계: MPTCP 소켓 생성 $\rightarrow$ 특정 조건의 fastclose 트리거 $\rightarrow$ 미초기화된 rcv_mss 참조 $\rightarrow$ 0 나누기 발생 $\rightarrow$ 시스템 중단.

악용 가능성: 본 취약점은 MPTCP(Multipath TCP) 프로토콜 처리 과정 중 mptcp_do_fastclose() 함수에서 rcv_mss 변수가 초기화되지 않은 채 tcp_send_active_reset()을 호출할 때 발생하는 Divide-by-Zero 오류입니다. 공격 표면은 네트워크 스택의 MPTCP 엔드포인트이며, 특수하게 조작된 패킷을 통해 커널 내 __tcp_select_window() 함수에서 0으로 나누기 연산을 유도함으로써 시스템 크래시(Kernel Panic)를 일으키는 DoS 형태의 공격이 가능합니다. CVSS 벡터상 네트워크를 통한 원격 공격(AV:N)이 가능하나, MPTCP 설정 및 특정 상태 전이 조건이 충족되어야 하므로 실제 공격 난이도는 Hard로 판단됩니다. EPSS 수치는 0.00187로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실질적인 악용 사례가 미관측되었음을 시사합니다. 따라서 이론적인 심각도와 달리 실제 악용 가능성은 낮으나, MPTCP를 활성화하여 사용하는 인프라 환경에서는 잠재적인 가용성 위협이 존재합니다.

• 기술적 위험: 본 취약점은 커널 레벨에서 발생하는 Oops: divide error로, 성공적으로 악용될 경우 대상 시스템의 즉각적인 크래시 및 재부팅이 발생하는 서비스 거부(DoS) 상태가 됩니다. 권한 상승이나 데이터 유출 가능성은 제공된 사실만으로는 확인되지 않습니다.
• 비즈니스 리스크:
  • 가용성 저하: 커널 패닉으로 인한 시스템 다운타임 발생 시, 해당 서버에서 구동 중인 모든 서비스가 중단됩니다.
  • 신뢰도 영향: 인프라 가용성 보장 실패로 인한 SLA 위반 가능성이 있습니다.
• 영향 범위: Linux kernel의 MPTCP(Multi-Path TCP) 기능을 사용하는 시스템이 대상입니다. 정확한 제품 버전은 명시되지 않았으나, mptcp_do_fastclose() 관련 수정 사항이 반영되지 않은 커널 버전들이 영향권에 포함됩니다.

• 패턴: 과거 Bare TCP에서 발생했던 유사한 초기화 누락 이슈(commit 499350a5a6e7)가 MPTCP 구현체에서도 동일하게 나타난 패턴입니다.
• 체이닝: 단독으로 시스템을 중단시키는 DoS 공격으로 활용될 가능성이 높으며, 다른 취약점과 연계하여 가용성을 무너뜨린 후 복구 과정의 허점을 노리는 시나리오가 추정됩니다.

• 커널 로그 분석: dmesg 또는 /var/log/syslog에서 다음과 같은 패턴의 커널 패닉 메시지를 모니터링합니다.
  • Oops: divide error
  • RIP: ... __tcp_select_window
  • Comm: syz (syzkaller 등 퍼징 도구 사용 시) 또는 특정 네트워크 프로세스 명칭

• 근본 해결: Linux 커널 패치를 적용하여 mptcp_do_fastclose() 호출 전 rcv_mss가 TCP_MIN_MSS로 적절히 초기화되도록 업데이트합니다.
• 즉시 조치: 패치가 불가능한 환경에서는 MPTCP 기능을 비활성화하여 공격 표면을 제거합니다.
• 우선순위 근거: 다중 소스에서 데이터 일관성이 확인되었으나, EPSS 수치가 0.00187(백분위 0.08643)로 매우 낮고 KEV에 등재되지 않았으며 악용 난이도가 hard로 평가됩니다. 따라서 즉각적인 긴급 대응보다는 업데이트 주기 내 반영하는 monitor 수준의 관리가 권고됩니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00187 · exploit=hard · in_scope=None