[분석가] 분석 — CVE-2026-31495

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

로컬 프로세스가 netfilter ctnetlink 소켓에 잘못된 범위의 속성값을 포함한 Netlink 메시지를 전송합니다.
패치 이전 커널에서는 CTA_PROTOINFO_TCP_WSCALE_* 필드가 0‑255까지 허용돼, 값이 14를 초과하면 u32 시프트 연산에서 정의되지 않은 동작이 발생하고 커널 패닉(DoS)으로 이어집니다.
필요 권한은 일반적으로 CAP_NET_ADMIN 이며, 컨테이너·네임스페이스 내에서도 해당 권한을 가진 프로세스가 있다면 공격이 가능합니다.

악용 가능성: CVSS 벡터 AV:L은 공격자가 대상 호스트에 로컬로 접근해야 함을 의미하며, 이는 프로세스를 실행할 수 있는 권한이 있음을 전제로 합니다. AC:L와 PR:L는 해당 로컬 환경에서 낮은 복잡도로, 최소 권한(예: 일반 사용자)만으로도 netlink 소켓을 열어 조작 가능한 점을 나타냅니다. UI:N은 추가적인 사용자 상호작용 없이 악의적인 netlink 메시지를 자동으로 전송할 수 있음을 의미합니다. EPSS = 0.00129는 실제 환경에서 이 취약점이 이용될 확률이 매우 낮으며, KE

• 기술적 위험: 성공 시 커널 패닉으로 시스템 가용성이 즉시 중단됩니다(A:H). 서비스 복구를 위해 재부팅이 필요하므로 운영 비용 및 다운타임이 증가합니다. 현재 CVSS 벡터가 C:N/I:N/A:H인 점과 EPSS 0.00129(실제 악용 사례 거의 없음)를 고려하면, 직접적인 권한 상승·데이터 유출 위험은 확인되지 않았습니다.
• 비즈니스 영향: 영향을 받는 커널 버전이 2.6.22.1‑6.19.11 전 범위에 걸쳐 있어, 해당 커널을 사용하는 서버·컨테이너·임베디드 디바이스 전체가 위험에 노출됩니다. 가용성 손실은 SLA 위반 및 고객 신뢰도 저하로 이어질 수 있습니다.
• 노출 규모: 다수(8) 릴리즈 라인에 적용되므로, 주요 리눅스 배포판·클라우드 이미지에 광범위하게 퍼져 있을 가능성이 높습니다. 공급망 차원에서 취약점이 전파될 위험도 존재합니다.

• **입력값 검증 부재(CWE‑20)**와 **잘못된 비트 시프트 연산(CWE‑682)**에 기인한 과거 커널 DoS 사례와 유사합니다.
• 추정: 공격자가 먼저 CAP_NET_ADMIN을 확보하거나, 컨테이너 환경에서 netlink 접근 권한을 얻은 뒤 이 취약점을 이용해 시스템을 다운시키고, 이후 권한 상승·코드 실행 단계로 전이할 수 있습니다(구체적 CVE 번호는 확인되지 않음).

• 커널 로그(dmesg 또는 journalctl -k)에
  text복사

   1netlink: attribute validation failed
   2invalid CTA_PROTOINFO_TCP_WSCALE

  와 같은 메시지가 반복적으로 기록되는 경우.
• Netfilter ctnetlink 트래픽을 캡처하고, NLA 타입이 CTA_PROTOINFO_TCP_WSCALE_ORIGINAL 또는 CTA_PROTOINFO_TCP_WSCALE_REPLY이며 값이 15 이상인 패킷을 식별합니다(간단 시그니처 예시).

• 즉시 조치: 해당 커널 버전을 최신 보안 업데이트가 포함된 릴리즈로 교체합니다. 패치가 아직 제공되지 않은 경우 nf_conntrack_netlink 모듈을 언로드(modprobe -r nf_conntrack_netlink)하거나, 필요 없는 경우 아예 로드하지 않도록 설정합니다.
• 근본 해결: upstream Linux 커널에서 적용된 netlink 정책 기반 검증이 포함된 버전(5.6 이상)으로 마이그레이션하고, 배포 파이프라인에 자동 보안 업데이트를 연계합니다.
• 추가 방어: SELinux/AppArmor 등 MAC 정책을 활용해 CAP_NET_ADMIN 없이 netlink 소켓 접근을 차단하고, 불필요한 Netfilter 규칙 및 conntrack 기능을 비활성화합니다. 또한, 로그·auditd 기반 실시간 알림을 설정하여 이상 ctnetlink 메시지를 조기에 탐지하도록 합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None