[단독분석] 분석 — CVE-2026-23103

• 심각도 high · CVSS 7.8 · EPSS 0.00107 · 악용난이도 hard

본 취약점은 ipvlan 모듈에서 addrs_lock이 장치 단위로 설정되어 발생하며, 특히 RTNL(Routing Netlink) 락 없이 호출될 수 있는 IPv6 주소 이벤트(ipvlan_addr6_event) 처리 과정에서 Race Condition이 촉발됩니다.

• 경로: 로컬 권한을 가진 공격자가 다중 CPU 환경에서 동시에 IP 주소를 추가/변경하는 작업을 수행.
• 원리: ipvlan_addr_busy()의 False-negative 유발 또는 서로 다른 락 하에서 ipvlan_ht_addr_add(port)가 호출되는 경쟁 상태 발생.
• 단계: 로컬 접근 권한 확보 $\rightarrow$ IPv6 주소 조작을 통한 Race Condition 유도 $\rightarrow$ 커널 메모리 오염 또는 비정상 동작 유발.

악용 가능성: 본 취약점은 Linux kernel의 ipvlan 모듈 내 addrs_lock이 장치 단위로 설정되어 발생하는 Race Condition으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터(AV:L/AC:L/PR:L/UI:N)에 따라 공격자는 시스템에 이미 낮은 권한(Low Privilege)의 계정으로 접속해 있어야 하며, 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 ipvlan 인터페이스의 주소 변경 및 관리와 관련된 커널 내부 함수이며, 특히 IPv6 주소 추가/삭제 시 발생하는 락(Lock) 메커니즘의 불일치가 주요 지점입니다. 다만, 실제 악용 가능성은 매우 낮습니다. EPSS 수치가 0.00107로 극히 낮고 KEV에 등재되지 않은 점은 이론적 취약점과 달리 야생(In-the-wild)에서의 실질적인 공격 사례가 관측되지 않았음을 시사합니다. 특히 ipvlan_add_addr() 함수가 서로 다른 CPU에서 동시에 호출되어야 하는 정밀한 타이밍 조건이 필요하므로, 실제 환경에서 이를 의도적으로 유도하여 유의미한 영향을 끼치기는 매우 어렵습니다.

다중 소스 데이터 교차검증 결과 신뢰도 1.0으로 일관성이 확인되었으며, 광범위한 Linux 커널 버전(4.17 ~ 6.18.8 일부)이 영향을 받는 공급망 특성상 노출 규모가 매우 큽니다.

• 기술적 위험: ipvlan 인터페이스의 주소 관리 체계가 무너짐에 따라, 추정: 커널 패닉으로 인한 서비스 중단(DoS) 또는 메모리 손상을 통한 권한 상승(LPE) 가능성이 존재합니다. CVSS 벡터(AV:L/PR:L)에 따라 로컬 사용자 권한이 필요합니다.
• 비즈니스 리스크: 가상화 환경이나 컨테이너 네트워크에서 ipvlan을 사용하는 인프라의 경우, 시스템 가용성 저하 및 내부 보안 경계 무력화 위험이 있습니다. 다만, 실측 EPSS 값(0.00107)과 백분위(0.01318)가 매우 낮아 야생에서의 실제 악용 가능성은 현재로서는 희박한 것으로 분석됩니다.

• 유형: Race Condition / Locking Issue.
• 체이닝 가능성: 단독으로 시스템을 완전히 장악하기보다는, 다른 로컬 권한 상승 취약점과 체이닝하여 커널 모드에서의 실행 권한을 획득하는 단계로 활용될 수 있습니다.

• 지표: ipvlan 인터페이스를 사용하는 환경에서 짧은 시간 내에 비정상적으로 많은 IPv6 주소 추가/삭제 이벤트가 발생하는 로그 확인.
• 패턴 예시: 커널 로그(dmesg) 상의 ipvlan 관련 Spinlock deadlock 또는 Memory Corruption 관련 Kernel Oops 메시지 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux 커널 버전을 최신 패치 버전으로 업데이트하여 addrs_lock이 per-port 단위로 적용되도록 수정합니다.
• 즉시 조치: 패치가 불가능한 경우, 신뢰할 수 없는 사용자의 네트워크 인터페이스 설정 변경 권한을 제한하거나 ipvlan 모듈 사용을 최소화합니다.
• 우선순위 근거: CVSS 7.8의 높은 심각도에도 불구하고, EPSS 실측값이 낮고 exploit 등급이 'hard'이며 KEV에 미등재된 점을 고려하여 이번 주 내 대응하는 scheduled 수준으로 우선순위를 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00107 · exploit=hard · in_scope=None