[방어] 분석 — CVE-2025-22083

• 심각도 high · CVSS 7.8 · EPSS 0.00196 · 악용난이도 hard

(1) 트리거 조건: vhost_scsi_set_endpoint 함수가 vhost_scsi_clear_endpoint 호출 없이 반복적으로 호출될 때 발생합니다. 특히 두 번째 호출에서 TPG(Target Portal Group)를 찾지 못할 경우(match=false), 기존에 할당된 vs_tpg 포인터는 kfree로 해제되지만, 백엔드 설정은 업데이트되지 않아 댕글링 포인터가 남게 됩니다.
(2) 공격 단계:

• 초기 접근: 로컬 시스템의 낮은 권한 계정으로 접근 (AV:L, PR:L).
• 트리거 실행: vhost_scsi_set_endpoint를 다중 호출하여 메모리 해제 상태를 유도.
• 영향 행사: SCSI 요청을 전송하여 vhost_vq_get_backend가 이미 해제된 vs_tpg 메모리 영역에 접근하게 함 $\rightarrow$ Use-After-Free 발생.
  (3) 공격 표면: Linux 커널의 vhost-scsi 드라이버 및 관련 가상화 인터페이스.
  (4) CVSS 벡터 연결: AV:L/PR:L은 로컬 권한을 가진 사용자가 트리거할 수 있음을 의미하며, AC:L은 특별한 조건 없이 반복 호출만으로 취약점이 발현됨을 뜻합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 이미 대상 시스템의 로컬 권한을 획득한 상태에서 Linux 커널의 vhost-scsi 모듈에 접근할 수 있어야 합니다. 특히 vhost_scsi_set_endpoint 함수가 vhost_scsi_clear_endpoint 호출 없이 반복적으로 트리거되어야 하는 특정 시퀀스가 필요하므로, 단순한 실행보다 정밀한 메모리 상태 조작이 요구됩니다. 공격 표면은 가상화 환경의 SCSI 백엔드 엔드포인트 설정 인터페이스 및 관련 커널 파라미터에 국한됩니다. EPSS 수치가 0.00196으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 Use-After-Free(UAF) 위험성에도 불구하고 실제 야생(In-the-wild)에서 악용된 사례가 드문 실질적 위협 수준을 반영합니다. 따라서 외부망을 통한 직접 침투보다는 권한 상승(Privilege Escalation)을 노린 내부 공격 시나리오로 제한되며, 일반적인 서버 환경보다 특정 가상화 구성 환경에서만 악용 가능성이 존재합니다.

(1) 기술적 위험:

• Memory Corruption (Use-After-Free): 해제된 메모리 영역에 접근함으로써 커널 패닉(Kernel Panic)으로 인한 시스템 가용성 상실 또는 추정: 커널 권한의 임의 코드 실행을 통한 권한 상승.
• Denial of Service: LIO/target layer TPG 제거 시 발생하는 행(Hang) 현상으로 인해 SCSI 스토리지 서비스 중단.
  (2) 비즈니스 영향: 가상화 환경에서 스토리지 백엔드를 사용하는 호스트의 시스템 다운타임 발생 및 데이터 입출력 불가로 인한 서비스 가용성 저하.

• 추정: Memory Corruption $\rightarrow$ Kernel Privilege Escalation 체인 가능성이 있습니다. UAF를 통해 커널 오브젝트를 조작할 수 있다면, 일반 사용자 권한에서 루트(root) 권한으로 상승하는 경로로 이어질 수 있는 전형적인 패턴입니다.

본 분석은 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 하며, EPSS 0.00196(백분위 0.09683)이라는 실측값을 통해 실제 악용 가능성은 현재 매우 낮음(hard)으로 판단됩니다. 따라서 과도한 탐지보다는 핵심 지표 모니터링에 집중합니다.

(1) 로그 지표: /var/log/syslog 또는 dmesg 내의 커널 덤프, General Protection Fault, Kernel Panic 메시지 중 vhost_scsi 관련 함수 호출 스택 확인.
(2) 탐지 규칙 예시 (Pseudo-code):

• 로직: 동일한 프로세스/컨텍스트에서 짧은 시간 내에 vhost_scsi_set_endpoint 관련 시스템 콜이나 드라이버 인터페이스 접근이 비정상적으로 반복되는 패턴 탐지.
• SIEM 쿼리 예시:
  SELECT timestamp, pid, event_name FROM kernel_events WHERE event_name = "vhost_scsi_set_endpoint" GROUP BY pid WINDOW(1s) HAVING count(*) > [Threshold]
  (3) 오탐 시나리오 및 튜닝: 가상화 관리 도구의 정상적인 재설정 작업으로 인해 다중 호출이 발생할 수 있습니다. 신뢰할 수 있는 관리자 계정(root, libvirt 등)의 활동은 화이트리스트 처리하여 오탐을 줄입니다.

본 취약점은 EPSS 수치가 낮고 exploit 난이도가 'hard'이며 KEV에 미등재된 상태이므로, 규칙 기반 우선순위에 따라 이번 주 내 대응(scheduled)하는 일정으로 관리합니다.

• 즉시(긴급 차단): 불필요한 가상화 스토리지 인터페이스 접근 제한.
  • 조치: 비특권 사용자의 /dev/vhost-net 또는 관련 vhost 장치 접근 권한을 ACL/chmod를 통해 엄격히 제한.
  • 난이도: 낮음 / 운영 영향: 낮음 / 검증: ls -l로 권한 확인 / 우선순위: 최우선.
• 단기(완화): 커널 파라미터 및 모듈 관리.
  • 조치: vhost-scsi 모듈을 사용하지 않는 서버의 경우 modprobe -r vhost_scsi 또는 /etc/modprobe.d/에 블랙리스트 등록.
  • 난이도: 낮음 / 운영 영향: 해당 기능 사용 불가 / 검증: lsmod | grep vhost_scsi / 우선순위: 중간.
• 근본(해결): 커널 업데이트.
  • 조치: 영향을 받는 버전(3.9.1~6.14.2 등)에서 해당 패치가 적용된 최신 안정 버전으로 업그레이드.
  • 난이도: 높음 / 운영 영향: 시스템 재부팅 필요 및 커널 호환성 테스트 필수 / 검증: uname -r 버전 확인 / 우선순위: 근본 해결.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00196 · exploit=hard · in_scope=None