[단독분석] 분석 — CVE-2025-68787

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• nr_sendmsg()에서 SKB를 할당한 뒤, 내부 sock_alloc_send_skb()가 NULL을 반환하면 기존 SKB가 해제되지 않아 메모리 누수가 발생합니다.
• 이 경로는 AF_NETROM 소켓을 이용해 일반적인 네트워크 메시지를 전송할 때 자동으로 호출됩니다.
• 악용 자체가 원격 코드 실행을 제공하지는 않지만, 지속적인 트리거를 통해 커널 메모리를 고갈시켜 서비스 거부(DoS) 상태를 유도할 수 있습니다.

악용 가능성: 이 취약점은 NetROM 프로토콜의 nr_sendmsg() 함수에서 메모리 할당 실패 시 원본 skb가 해제되지 않아 발생하는 메모리 누수이며, 공격자는 특수한 NetROM 메시지를 전송해 해당 함수를 호출해야 합니다. CVSS

• 기술적 위험: 누수된 SKB가 해제되지 않아 커널 힙(kmalloc‑slab) 사용량이 점진적으로 증가하고, 최종적으로 OOM(Kernel Out‑of‑Memory) 상황이나 시스템 불안정·재부팅을 초래할 수 있습니다.
• 비즈니스 영향: 서비스 가용성 저하·예기치 않은 재시작으로 인한 운영 중단, SLA 위반 위험, 규제·컴플라이언스 측면에서 “가용성” 요건 미충족 가능성이 존재합니다.
• 영향 제품·범위: 모든 Linux 커널(네트워크 스택에 netrom 모듈이 포함된 버전)에서 발생할 수 있으며, 배포판 별 패치 적용 여부에 따라 차이가 있습니다. 구체적인 버전 정보는 공개되지 않았습니다.
• 근거: 다중 소스 교차검증 결과가 일관되게 확인됐으며([교차검증] 신뢰도 1.0), EPSS = 0.00177(백분위 0.07459)이라는 실측 악용 예측 수치는 실제 공격 가능성이 낮은 편임을 나타냅니다.

• 동일한 메모리 할당/해제 흐름 오류가 존재하는 다른 커널 네트워크 모듈(CVE‑2024‑xxxx 등)과 패턴이 유사합니다.
• 현재 알려진 체이닝 시나리오는 없으며, 이 취약점 자체만으로 권한 상승이나 원격 코드 실행은 불가능합니다.

• dmesg·/var/log/kern.log에 다음 문자열이 나타나는 경우 의심됩니다.
  text복사

   1BUG: memory leak
   2... nr_sendmsg+...
   3... sock_alloc_send_skb+...

• 정규식 예시(검색 툴용): BUG:\s*memory\s*leak.*nr_sendmsg\(\).*sock_alloc_send_skb\(
• kmemleak 또는 slabtop을 활용해 비정상적인 SKB 누수 패턴을 실시간 모니터링합니다.

1. 패치 적용: 배포판 보안 업데이트에서 해당 커밋이 포함된 최신 커널 버전으로 업그레이드합니다.
2. 모듈 비활성화: netrom 기능을 사용하지 않는 경우 modprobe -r netrom 또는 /etc/modprobe.d/blacklist.conf에 blacklist netrom을 추가해 로드되지 않도록 합니다.
3. 로그·메모리 모니터링: 위 탐지 패턴을 포함한 커널 로그 알림을 설정하고, kmemleak를 활성화하여 누수 발생 시 즉시 경고하도록 구성합니다.
4. 재부팅 정책: 메모리 사용량이 급증하거나 OOM 이벤트가 감지될 경우 서비스 연속성을 위해 자동 재부팅 또는 프로세스 재시작 절차를 마련합니다.

우선순위 판단 근거: CVSS 점수가 없고 KEV에 등재되지 않았으며, EPSS 0.00177·exploit 난이도 hard라는 규칙 기반 평가 결과 “monitor” 수준으로 지정되었습니다([우선순위 결정] 논리). 따라서 패치 적용을 최우선으로 하되, 실시간 모니터링을 병행하는 것이 권장됩니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None