[방어] 분석 — CVE-2025-68773

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• 사용자 또는 악성 프로그램이 SPI eeprom(at25) 장치에 odd length 전송을 요청한다.
• 커널의 spi: fsl-cpm 드라이버가 전송 크기가 짝수인지 확인하지 못하고 16‑bit 모드로 전환하면서, 동적으로 할당된 bounce buffer(전송 크기와 동일) 를 초과해 메모리를 오버런한다.
• 오버런이 발생하면 커널 oops/일반 보호 메커니즘에 의해 시스템이 패닉될 수 있으며, 슬랩 캐시 오염을 통해 로컬 권한 상승(LPE)이 이론적으로 가능하다(다중 소스에서 정확한 LPE 경로는 확인되지 않음).

악용 가능성: CVSS 벡터에서 AV가 Local, AC가 Low, PR이 User, UI가 None으로 설정되어 있어 공격자는 로컬 시스템에 대한 일반 사용자 권한만 있으면 충분히 시도할 수 있습니다.
해당 드라이버는 커널 레벨에서 동작하므로 버퍼 오버런이 발생하면 메모리 손상 및 권한 상승으로 이어질 위험이 존재합니다.
EPSS 0.00177이라는 실측값은 현재까지 악용 사례가 매우 적지만 전

• 서비스 중단: 커널 패닉으로 인한 시스템 다운타임.
• 잠재적 권한 상승: 오버런이 슬랩 캐시의 인접 객체를 덮어쓰면 task_struct·cred 등 핵심 구조체 변조 가능성(가능성은 추정).
• 전체 시스템 무결성 위협: 공격자가 로컬 루트 권한을 얻으면 커널 모듈 삽입, 데이터 탈취, 지속적 접근이 가능.

• 동일한 SPI 드라이버에서 발생하는 odd‑size buffer overflow 유형은 다른 커널 드라이버(예: spi-nor, spi-mem)에서도 보고된 바 있어, 동일한 메모리 보호 회피 기법(슬랩 오염 → LPE)과 연계될 수 있다.
• 현재 확인된 CVE 번호는 없으나, CWE‑125 (Out-of-bounds Read) 및 CWE‑122 (Heap-based Buffer Overflow) 패턴과 유사하게 체이닝 가능성이 존재한다.

• 로그 지표

  • dmesg/syslog 에서 "fsl_cpm_spi" 혹은 "spi: fsl-cpm" 문자열과 함께 BUG, oops, invalid length, buffer overrun 등이 포함된 항목.
  • auditd 이벤트: type=SYSCALL 와 exe="/lib/modules/.../fsl_cpm_spi.ko" 가 기록되고, result=-EFAULT 혹은 exit=-12(ENOMEM) 등 비정상 종료 코드.

• SIEM 탐지 규칙 예시

  1. Regex 기반 쿼리 (Splunk)

 1index=kernel_logs sourcetype="dmesg"
 2| regex _raw "(fsl_cpm|spi).*odd.*length|buffer overrun|BUG"

1. 필드 기반 필터 (Elastic)

 1{
 2  "bool": {
 3    "must": [
 4      {"match_phrase": {"message": "fsl_cpm_spi"}},
 5      {"regexp": {"message": ".*(odd|invalid).*length.*"}}
 6    ]
 7  }
 8}

1. Auditd 룰 (audit.rules)

 1-w /lib/modules/$(uname -r)/kernel/drivers/spi/fsl_cpm_spi.ko -p x -k fslcpm_overrun

• 오탐 튜닝
  • 정상적인 SPI 디버깅 로그에 “odd length” 문구가 포함될 경우를 제외하기 위해, message 필드에 result=0(성공) 혹은 exit>=0 조건을 추가한다.
  • 특정 하드웨어에서 의도적으로 짝수가 아닌 전송을 수행하는 경우(테스트 스위트)라면 해당 호스트/프로세스를 화이트리스트에 등록한다.

• 즉시(긴급 차단)

  • 드라이버 블랙리스트: /etc/modprobe.d/blacklist-fslcpm.conf 에 install fsl_cpm_spi /bin/false 추가 후 modprobe -r fsl_cpm_spi 로 언로드.
    • 난이도: 낮음, 운영 영향: 해당 SPI 컨트롤러를 사용하는 장치가 있으면 기능 정지.
    • 검증: lsmod | grep fsl_cpm_spi 가 나타나지 않아야 함.

• 단기(완화)

  • 패치 백포팅: upstream 커밋 fc96ec826bce (length parity check) 를 현재 커널 소스에 적용하고, 모듈을 재컴파일 후 로드한다.
    • 난이도: 중간, 운영 영향: 재부팅 없이 모듈 교체 가능하지만 테스트 환경에서 검증 필요.
    • 검증: 짝수·홀수 전송 각각 수행(spidev_test -D /dev/spidevX.Y -s 3)하여 커널 로그에 오버런이 발생하지 않는지 확인.

• 근본(해결)

  • 커널 업그레이드: 패치가 포함된 최신 LTS 커널(예: 6.8.x 이상)으로 업데이트하고, uname -r 로 버전 확인한다.
    • 난이도: 높음 (배포 정책·재부팅 필요), 운영 영향: 전체 시스템 재시작 및 호환성 테스트 요구.
    • 검증: 부팅 후 grep fsl_cpm_spi /proc/kallsyms 로 심볼 존재 확인, 동일 테스트로 오버런 재현 여부 점검.

• 잔여 리스크

  • 패치가 적용된 커널이라 하더라도 드라이버 자체가 활성화돼 있으면 잠재적 코드 결함이 남을 수 있다(다른 경계 검사 누락). 따라서 불필요한 경우 modprobe.blacklist 로 지속 차단하는 것이 권장된다.

• 인시던트 대응 플레이북

  1. 증상 확인: dmesg | grep -i fsl_cpm_spi 에 오버런 로그 존재 여부 파악.
  2. 격리: 해당 호스트를 네트워크에서 격리하고, 드라이버 블랙리스트 적용 후 즉시 재부팅.
  3. 증거 수집: kdump 혹은 crash dump 를 확보하고, 오버런 발생 시점의 메모리 레이아웃을 분석한다.
  4. 완화 적용: 위 “즉시 차단” 조치 후, 가능한 경우 백포트 패치를 적용한다.
  5. 복구 및 검증: 정상적인 SPI 전송 테스트 수행, 시스템 안정성 확인 후 서비스 복구.

다중 소스 교차검증 결과(신뢰도 1.0)와 EPSS 0.00177(악용 가능성은 낮지만 ‘hard’ 등급) 를 고려하여, 본 보고서는 모니터링 우선이지만 즉시 차단 조치를 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None