[단독분석] 분석 — CVE-2025-21718

• 심각도 high · CVSS 7.8 · EPSS 0.00163 · 악용난이도 hard

• 취약점 원리: net/rose 모듈의 타이머 처리 과정에서 socket spinlock만 획득하고, 해당 소켓이 특정 유저 스레드에 의해 소유되었는지 확인하는 절차가 누락되어 발생합니다.
• 공격 경로: Local 권한을 가진 공격자가 ROSE 프로토콜 타이머와 유저 스레드 간의 Race Condition을 유도하여 slab-use-after-free 상태를 촉발합니다.
• 단계: ROSE 소켓 생성 $\rightarrow$ 타이머 만료 시점과 유저 스레드 동작 간의 타이밍 조작 $\rightarrow$ 해제된 메모리 영역 참조(rose_timer_expiry) $\rightarrow$ 커널 패닉 또는 임의 코드 실행 시도.

악용 가능성: 본 취약점은 Linux kernel의 ROSE 프로토콜 구현체에서 발생하는 Timer Race Condition으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 대상 시스템에 이미 낮은 권한(Low Privilege)의 계정으로 접근하여 로컬 환경에서 코드를 실행할 수 있는 전제조건이 필요합니다. 공격 표면은 ROSE 프로토콜 관련 소켓 엔드포인트와 타이머 메커니즘이며, 특정 조건에서 Socket Spinlock만으로는 사용자 스레드의 소유권 확인이 불가능한 점을 이용해 Slab-use-after-free를 유발합니다. 다만, EPSS 수치가 0.00163으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 이론적 심각도와 달리 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 결과적으로 로컬 권한을 가진 공격자가 정밀한 타이밍 공격을 수행해야 하므로, 일반적인 외부 공격 경로를 통한 대규모 악용 가능성은 매우 낮습니다.

• 기술적 위험:
  • 시스템 무결성 파괴: Memory-Corruption 유형으로, 성공적인 악용 시 커널 공간에서의 임의 메모리 읽기/쓰기가 가능하여 Local Privilege Escalation(LPE)으로 이어질 수 있습니다.
  • 가용성 중단: KASAN 리포트에서 확인된 slab-use-after-free는 시스템 크래시 및 Kernel Panic을 유발하여 서비스 중단을 초래합니다.
• 비즈니스 영향:
  • 노출 규모: Linux kernel 2.6.12부터 6.13.2까지 광범위한 버전이 영향을 받으므로, 해당 커널 기반의 서버 및 임베디드 환경 전반에 걸쳐 잠재적 리스크가 존재합니다.
  • 컴플라이언스: 권한 상승을 통한 데이터 무단 접근 가능성이 있어, 민감 데이터를 처리하는 시스템의 경우 보안 규정 위반 및 신뢰도 하락이 예상됩니다.

• 유형 연계: Memory-Corruption 및 Race Condition 패턴의 특성상, 다른 커널 메모리 누수(Leak) 취약점과 체이닝될 경우 KASLR 우회 및 익스플로잇 성공률을 높일 수 있습니다.

• 커널 로그 분석: dmesg 또는 /var/log/syslog에서 BUG: KASAN: slab-use-after-free in rose_timer_expiry 문자열 및 관련 Call Trace 확인.
• 동적 분석: ROSE 프로토콜을 사용하는 프로세스의 비정상적인 타이머 동작 및 커널 메모리 오염 징후 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux kernel 버전을 최신 패치 버전(6.1.130+, 6.6.77+, 6.12.14+, 6.13.3+ 추정)으로 업데이트하여 타이머 체크 로직을 적용하십시오.
• 즉시 조치: ROSE 프로토콜을 사용하지 않는 환경이라면, modprobe -r rose 명령어를 통해 해당 커널 모듈을 비활성화하여 공격 표면을 제거하십시오.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00163, 백분위 0.05939)과 CVSS 벡터(AV:L/PR:L)를 근거로 실제 야생 악용 가능성은 낮으나(hard), 영향 범위가 광범위한 공급망 특성을 고려하여 '이번 주 내' 대응하는 scheduled 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00163 · exploit=hard · in_scope=None