[분석가] 분석 — CVE-2026-23103

• 심각도 high · CVSS 7.8 · EPSS 0.00107 · 악용난이도 hard

• 원리: ipvlan 모듈에서 addrs_lock이 장치(dev) 단위로 설정되어 있어, IPv6 주소 변경과 같은 특정 상황에서 RTNL(rtnl_lock) 없이 동시 접근 시 Race Condition이 발생합니다.
• 경로: 로컬 권한을 가진 공격자가 ipvlan_addr6_event() 등을 통해 다중 CPU에서 동시에 IP 주소를 추가/변경하는 동작을 유도합니다.
• 단계:
  1. ipvlan 인터페이스 설정 및 IPv6 주소 조작 시도.
  2. 서로 다른 lock 범위 내에서 ipvlan_ht_addr_add(port)가 호출되도록 유도.
  3. Lock 경쟁으로 인한 메모리 오염 또는 로직 오류(ipvlan_addr_busy()의 False-negative) 촉발.

악용 가능성: 본 취약점은 Linux kernel의 ipvlan 모듈 내에서 주소 관리 락(addrs_lock)이 장치 단위로 설정되어 발생하는 Race Condition으로, 공격 난이도는 Hard 수준입니다. CVSS 벡터상 AV:L/PR:L인 만큼, 공격자는 이미 시스템에 로그인하여 낮은 권한의 계정을 확보한 상태에서 로컬 네트워크 설정을 조작할 수 있는 전제조건이 필요합니다. 공격 표면은 IPv6 주소 변경과 같이 RTNL(Routing Netlink) 외부에서 호출되는 ipvlan_add_addr() 등의 함수와 관련 엔드포인트에 국한됩니다. 특히 두 개 이상의 CPU에서 동시에 해당 함수가 호출되어야 하는 정밀한 타이밍 트리거가 필수적이므로, 이론적 취약점 대비 실제 악용 가능성은 매우 낮습니다. 이러한 분석은 KEV 미등재 상태와 낮은 EPSS(0.00107) 수치로 뒷받침되며, 이는 야생에서의 실제 공격 사례가 거의 관측되지 않았음을 의미합니다. 결과적으로 본 취약점은 특정 네트워크 구성 환경에서만 제한적으로 유효하며, 일반적인 서버 환경에서의 즉각적인 위협 수준은 낮다고 판단됩니다.

• 기술적 위험:
  • 무결성 및 가용성 침해: Race Condition으로 인해 커널 내부 데이터 구조가 손상될 경우, 시스템 크래시(Kernel Panic)로 인한 서비스 중단이나 권한 상승(Privilege Escalation) 가능성이 존재합니다. (CVSS 벡터 C:H/I:H/A:H 근거)
  • 노출 규모: Linux Kernel 4.17부터 6.18.8까지 매우 광범위한 버전이 영향권에 있어, 컨테이너 환경이나 가상 네트워크를 사용하는 인프라의 노출 범위가 매우 넓습니다.
• 비즈니스 리스크:
  • 서비스 안정성: 커널 레벨의 취약점이므로 악용 시 하이퍼바이저나 호스트 OS 전체의 가용성에 치명적인 영향을 줄 수 있습니다.
  • 컴플라이언스: 광범위한 제품군에 영향을 주는 공급망 성격의 취약점으로, 패치 지연 시 보안 감사 및 규제 준수 이슈가 발생할 수 있습니다.

• 패턴: 커널 내 Lock 범위 설정 오류로 인한 Race Condition 유형입니다.
• 체이닝: 단독으로는 AV:L(Local) 제약이 있으나, 다른 원격 코드 실행(RCE) 취약점과 체이닝될 경우 최종적으로 호스트 권한을 탈취하는 단계로 이용될 수 있습니다.

• 커널 로그 분석: ipvlan 관련 메모리 오류나 비정상적인 커널 패닉(Kernel Panic) 로그 확인.
• 시스템 콜 모니터링: 단시간 내에 특정 ipvlan 인터페이스에 대해 IPv6 주소 변경/추가 요청이 비정상적으로 빈번하게 발생하는 패턴 감시.

• 근본 해결: 영향받는 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 addrs_lock을 per-port 단위로 세분화한 수정 사항을 반영하십시오.
• 즉시 조치:
  • 불필요한 ipvlan 모듈 로드 제한.
  • 신뢰할 수 없는 사용자의 네트워크 설정 변경 권한(CAP_NET_ADMIN 등) 제한.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석하였습니다.
• 실측 악용예측: EPSS 0.00107(백분위 0.01318)로 실측 기반의 실제 악용 가능성은 현재 매우 낮으며, 공격 난이도가 hard로 평가됩니다.
• 우선순위 결정: CVSS 7.8의 높은 이론적 심각도와 광범위한 영향 제품군을 고려하여 scheduled(이번 주 내) 대응으로 결정하였습니다. 이는 KEV 미등재 및 낮은 EPSS 수치에도 불구하고, 잠재적 피해 범위가 크기 때문에 내린 규칙 기반 결정입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00107 · exploit=hard · in_scope=None