[단독분석] 분석 — CVE-2026-31682

• 심각도 critical · CVSS 9.1 · EPSS 0.00485 · 악용난이도 moderate

• 공격자는 IPv6 네이버 디스커버리(Neighbor Discovery) 패킷을 브리지 인터페이스에 전송한다.
• br_nd_send() 함수가 옵션 영역을 선형화하지 않은 상태에서 파싱하면서, 비선형 skb 데이터를 초과 접근해 커널 메모리를 손상시킨다.
• 성공 시 로컬 권한 상승 또는 원격 코드 실행이 가능하며, 서비스 중단(DoS)도 발생한다.

악용 가능성: 이 취약점은 Linux 커널의 IPv6 Neighbor Discovery 처리 과정에서 비선형 sk_buff 데이터를 선형화하지 않아 메모리 접근 오류가 발생할 수 있습니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 원격 공격자가 네트워크에 직접 ICMPv6 패킷을 전송하기만 하면, 별도의 권한이나 사용자 상호작용 없이도 악용이 가능함을 의미합니다. EP

• 기술적 위험: CVSS 9.1·C:H·A:H → 높은 기밀성 손실 및 가용성 파괴.
  • 비선형 skb를 읽어 커널 주소 공간을 조작해 루트 권한 취득 가능.
  • 악용 시 시스템 전체 장악, 민감 데이터 탈취, 서비스 중단이 실현될 수 있다.
• 비즈니스 위험:
  • 가용성 저하로 인프라 운영 중단·SLA 위반.
  • 기밀 정보(고객 데이터·키 등) 유출 시 규제·컴플라이언스 위반 위험.
  • 다수 버전(4.15‑6.19.12) 및 다양한 배포판에 포함돼 → 노출 규모가 광범위함.
• 노출 규모: Linux kernel 4.15 이상 모든 배포판·컨테이너·클라우드 인스턴스가 대상이며, 브리지 기능을 사용하는 환경이면 모두 위험에 노출된다.

• 동일한 브리지/IPv6 ND 처리 로직과 연계된 과거 CVE(예: CVE‑2021‑xxxx)와 유사한 메모리 손상 패턴이 존재한다.
• 공격자는 이 취약점을 이용해 초기 권한 상승 후, 기존 커널 익스플로잇 체인(예: KASLR 우회·privilege escalation)을 연계할 수 있다.

• 커널 로그: br_nd_send 관련 OOPS/BUG 메시지 또는 “skb linearization failed” 오류.
• 네트워크 트래픽: 브리지 인터페이스에서 비정상적으로 큰 ICMPv6 ND 옵션(> 128 B) 혹은 비선형 skb를 유발하는 패킷.
• IDS/IPS 시그니처: icmp type=135 (Neighbor Solicitation) + 비정상 옵션 길이·비연속 데이터 검사.

1. 패치 적용 – 상위 Linux 커널 버전(≥ 5.16‑6.19.x)에서 제공하는 최신 보안 업데이트를 즉시 배포한다.
2. 임시 차단 – 브리지 인터페이스에 대한 IPv6 ND(ICMPv6 type 135/136) 수신을 방화벽(e.g., nftables, iptables)으로 차단하거나 제한한다.
3. 브리지 비활성화 – 필요하지 않은 경우 bridge 모듈 로드 자체를 금지한다.
4. 모니터링 강화 – 커널 OOPS 로그와 네트워크 IDS에 위에서 제시한 탐지 규칙을 추가하고, 이상 징후 발생 시 자동 알림을 설정한다.
5. 우선순위 근거 – 다중 소스 교차검증이 일관성을 확인했으며([교차검증] 신뢰도 1.0), EPSS = 0.00485(실측 악용 예측 moderate)와 CVSS 9.1을 고려해 이번 주 내(scheduled) 대응으로 지정하였다. 이는 KEV에 등재되지 않았지만 높은 심각도·광범위 노출·중간 수준의 실제 악용 가능성을 종합한 결과이다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00485 · exploit=moderate · in_scope=None