[방어] 분석 — CVE-2026-31768

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

• 원리: Linux 커널의 ti-adc161s626 드라이버가 SPI 통신 시 DMA(Direct Memory Access) 안전하지 않은 스택 메모리를 spi_read() 버퍼로 사용함.
• 경로: 로컬 권한을 가진 공격자가 해당 하드웨어 장치(iio: adc)에 접근하여 특정 입출력 요청을 트리거함.
• 단계: DMA 컨트롤러가 스택 영역의 물리 주소에 직접 접근하여 데이터를 쓰게 함으로써, 커널 스택 내의 복귀 주소(Return Address)나 함수 포인터를 오염시켜 실행 흐름을 제어함.

악용 가능성: 본 취약점은 Linux kernel의 ti-adc161s626 드라이버에서 DMA-safe 메모리가 아닌 스택 메모리를 spi_read()에 사용함으로써 발생하는 메모리 오염 가능성을 다룹니다. CVSS 벡터상 AV:L 및 PR:L로 정의된 것처럼, 공격자는 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 하며 커널 드라이버와 직접 상호작용할 수 있는 환경이 전제되어야 합니다. 다만 AC:L인 만큼 트리거 조건 자체는 단순하며, SPI 프로토콜을 통해 ADC(Analog-to-Digital Converter) 데이터를 읽어오는 특정 엔드포인트나 파라미터 조작을 통해 메모리 손상을 유도할 수 있는 공격 표면이 존재합니다. EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 이 취약점을 이용한 실제 대규모 공격 사례가 보고되지 않았음을 시사하며, 이는 이론적 심각도보다 실질적인 악용 가능성이 낮음을 의미합니다. 결과적으로 로컬 권한 획득이라는 높은 진입 장벽과 특정 하드웨어 드라이버 의존성으로 인해 전체적인 공격 난이도는 'Hard'로 판단됩니다.

• 권한 상승 및 무결성 침해: CVSS 벡터(AV:L/PR:L)에 따라 로컬 일반 사용자 권한에서 커널 모드 권한으로 상승 가능.
• 시스템 가용성 저하: 잘못된 메모리 쓰기로 인한 Kernel Panic(DoS) 유발 가능.

• 패턴 연계: DMA-safe 버퍼 미사용으로 인한 Memory Corruption 패턴임. 다른 로컬 권한 상승(LPE) 취약점과 체이닝하여 샌드박스를 탈출하거나 커널 권한을 완전히 획득하는 경로로 활용될 수 있음.

• 로그 지표: 본 취약점은 하드웨어 드라이버 레벨에서 발생하므로 표준 syslog에 명시적인 공격 패턴이 남지 않음. 다만, 악용 시도 중 발생하는 Kernel Oops나 General Protection Fault (GPF) 로그를 추적해야 함.
• 탐지 규칙 예시:
  1. 커널 덤프 분석 (SIEM/Log):
     • Source: /var/log/kern.log 또는 dmesg
     • Condition: (text contains "General protection fault") AND (text contains "ti-adc161s626")
  2. 이상 프로세스 감시 (EDR):
     • Logic: 일반 사용자 계정의 프로세스가 /dev/iio_device* 경로에 비정상적으로 빈번하게 접근하거나, 해당 장치 오픈 직후 권한 상승(Privilege Escalation) 징후가 보이는지 모니터링.
  3. 메모리 오염 징후 (추정):
     • Pattern: 커널 스택 영역에 비정상적인 값(예: 특정 쉘코드 패턴이나 가젯 주소)이 쓰이는지 확인하는 KASAN/KCSAN 기반의 런타임 모니터링.
• 오탐 튜닝: 하드웨어 드라이버의 정상적인 오작동으로 인한 Crash와 구분하기 위해, 공격자의 권한 상승 시도(예: setuid 바이너리 실행, /etc/shadow 접근 시도)가 동반되었는지 상관분석 필요.

• 즉시 (긴급 차단): IIO 장치 접근 권한 제한.
  • 일반 사용자가 /dev/iio_device*에 접근하지 못하도록 udev 규칙을 수정하여 권한을 root 전용으로 변경.
  • 난이도: 낮음 / 운영 영향: IIO 장치를 사용하는 특정 애플리케이션 작동 중단 가능성 / 검증: ls -l /dev/iio_device*로 권한 확인.
• 단기 (완화): 불필요한 커널 모듈 언로드.
  • 해당 하드웨어를 사용하지 않는 시스템의 경우 modprobe -r ti-adc161s626를 통해 드라이버 로드를 차단하고, /etc/modprobe.d/blacklist.conf에 추가하여 재부팅 후에도 로드되지 않게 설정.
  • 난이도: 낮음 / 운영 영향: 해당 하드웨어 기능 사용 불가 / 검증: lsmod | grep ti_adc161s626 결과 없음 확인.
• 근본 (해결): 커널 패치 적용.
  • 영향 제품 범위(4.9 ~ 6.19 일부 버전)가 매우 광범위하므로, 각 배포판의 최신 보안 업데이트 버전을 적용하여 spi_read()가 DMA-safe 버퍼를 사용하도록 수정된 커널로 업그레이드.
  • 난이도: 중간 (재부팅 필요) / 운영 영향: 시스템 가동 중단(Downtime) 발생 / 검증: uname -r 및 패치 버전 확인.

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었습니다. 실측 악용 예측값인 **EPSS 0.00129(백분위 0.02952)**는 현재 실제 공격 사례가 드물고 악용 난이도가 높음(hard)을 의미합니다. 따라서 CVSS 점수는 High(7.8)로 높으나, 실측 위험도를 반영하여 우선순위를 **scheduled (이번 주 내)**로 결정하였습니다. 이는 이론적 심각도보다 실제 위협 수준과 공격 가능성을 종합적으로 고려한 규칙 기반의 결정입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None