[방어] 분석 — CVE-2025-21864

• 심각도 medium · CVSS 5.5 · EPSS 0.00205 · 악용난이도 hard

(1) 트리거 조건: ipcomp6를 사용하는 TCP 트래픽이 발생하는 환경에서, skb(socket buffer)가 CPU의 defer_list에 머물러 있는 상태로 Network Namespace(netns)가 삭제될 때 발생합니다. secpath 참조가 남아있어 xfrm_state가 적시에 삭제되지 않는 것이 핵심입니다.
(2) 공격 단계:

• 전제조건: 로컬 권한(PR:L) 보유 및 네트워크 네임스페이스 생성/삭제 권한 필요.
• 실행:
  1. 다수의 Network Namespace 쌍을 생성합니다.
  2. ipcomp6를 통해 TCP 테스트 트래픽을 발생시켜 skb와 secpath 참조를 생성합니다.
  3. skb가 CPU의 지연 해제 리스트(defer_list)에 쌓인 시점에 해당 네임스페이스를 즉시 삭제합니다.
• 결과: 커널 내 xfrm6_tunnel_net_exit에서 예상치 못한 참조로 인해 WARN 발생 및 추정: 시스템 불안정성 또는 패닉(Panic)으로 인한 서비스 중단이 발생합니다.
  (3) 공격 표면: Linux Kernel TCP/IP 스택, 구체적으로는 ipcomp6 및 Network Namespace 관리 인터페이스입니다.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요). 즉, 외부 네트워크 공격보다는 시스템 내부의 권한을 가진 사용자가 트리거할 수 있는 구조입니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해 공격자가 이미 시스템 내부에 로컬 계정 권한을 확보하고 있어야 하며, 단순 네트워크 패킷 전송만으로는 트리거할 수 없습니다. 특히 netns(Network Namespace) 생성과 삭제, 그리고 ipcomp6 프로토콜 기반의 TCP 통신이라는 특수한 환경이 동시에 충족되어야 하므로 일반적인 서버 운영 환경에서의 우연한 발생 가능성은 희박합니다. 공격 표면은 Linux 커널의 네트워크 스택 내부, 구체적으로는 xfrm_state와 secpath가 결합된 skb(Socket Buffer) 처리 로직에 한정됩니다. EPSS 수치가 0.00205로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 커널 패닉/메모리 손상 가능성에도 불구하고 실제 야생(In-the-wild)에서 공격 도구화된 사례가 없음을 뒷받침합니다. 결과적으로 특정 네트워크 네임스페이스 설정과 정교한 타이밍 제어가 필요한 고난도 조건으로 인해, 외부 침입 경로보다는 내부 권한 상승이나 서비스 거부(DoS)를 노린 극히 제한적인 시나리오에서만 악용 가능할 것으로 분석됩니다.

(1) 기술적 위험: AV:L 및 A:H 벡터에서 알 수 있듯, 주된 위험은 가용성 침해입니다. 커널 내 메모리 참조 오류로 인한 시스템 크래시 또는 커널 패닉이 발생하여 서비스가 중단될 수 있습니다.
(2) 비즈니스 영향: 컨테이너 환경이나 네트워크 가상화를 빈번하게 사용하는 인프라에서 특정 조건 충족 시 호스트 OS 자체가 다운되어 전체 서비스 가용성이 상실될 수 있습니다.

추정: 본 취약점은 Use-After-Free(UAF)와 유사한 메모리 생명주기 관리 결함 패턴을 보입니다. 단독으로는 DoS에 그칠 가능성이 높으나, 추정: 다른 커널 메모리 오염 취약점과 체이닝될 경우 권한 상승(Privilege Escalation)으로 이어질 수 있는 경로를 제공할 수 있습니다.

(1) 로그 지표: Linux Kernel Ring Buffer (dmesg) 및 /var/log/syslog 또는 kern.log. 특히 xfrm6_tunnel_net_exit 함수 내에서 발생하는 WARN 메시지를 추적해야 합니다.
(2) 탐지 규칙 예시:

• SIEM 쿼리 (Pseudo-code):
  SELECT timestamp, hostname, message FROM kernel_logs WHERE message LIKE '%xfrm6_tunnel_net_exit%' AND message LIKE '%WARN%'
• 정규식: /(?:WARN|ERROR).*xfrm6_tunnel_net_exit.*referenced/
  (3) 오탐 시나리오 및 튜닝: 네트워크 네임스페이스를 매우 빈번하게 생성/삭제하는 정상적인 CI/CD 파이프라인이나 테스트 환경에서 유사한 경고가 발생할 수 있습니다. 특정 프로세스 ID(PID)나 사용자 계정이 반복적으로 해당 로그를 유발하는지 임계값(예: 5분 내 10회 이상)을 설정하여 튜닝합니다.

• 즉시 (긴급 차단): ipcomp6 사용 제한. 현재 시스템에서 IPv6 압축(ipcomp6) 기능이 필수적이지 않다면, 해당 모듈의 로드를 차단하거나 설정을 비활성화하여 공격 경로를 제거합니다. (난이도: 하 / 영향: 낮음 / 검증: lsmod | grep ipcomp6 확인)
• 단기 (완화): Network Namespace의 빈번한 생성/삭제가 일어나는 자동화 스크립트에 딜레이(Sleep)를 추가하여 defer_list가 플러시될 시간을 확보합니다. (난이도: 중 / 영향: 성능 소폭 저하 / 검증: dmesg 모니터링)
• 근본 (해결): 영향을 받는 커널 버전(5.19~6.13.5 등)을 최신 패치 버전으로 업데이트합니다. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r 버전 확인)

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 합니다. 실측 EPSS 값(0.00205, 백분위 0.1078)과 AV:L, PR:L 조건을 고려할 때 실제 외부 악용 가능성은 매우 낮아(hard), 규칙 기반 우선순위에 따라 'monitor' 등급으로 결정되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00205 · exploit=hard · in_scope=None