[단독분석] 분석 — CVE-2026-23103

• 심각도 high · CVSS 7.8 · EPSS 0.00107 · 악용난이도 hard

• 로컬 사용자가 IPv6 주소를 동시에 추가/삭제하는 상황에서 ipvlan_add_addr() 와 ipvlan_ht_addr_add() 가 서로 다른 addrs_lock 을 사용하지 않아 경쟁 상태가 발생합니다.
• 공격자는 여러 CPU 코어를 이용해 동일한 IPVLAN 포트에 대한 주소 변경을 병렬로 수행함으로써, 주소 관리 구조가 손상될 수 있습니다.
• 이 과정은 RTNL_LOCK 없이도 IPv6 전용 경로(ipvlan_addr6_event())에서 발생하므로, 일반 사용자 권한만으로도 커널 내부 상태를 왜곡할 가능성이 있습니다.

악용 가능성: AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 개입 없음)이라는 CVSS 벡터는 공격자가 동일 호스트에 로컬 계정으로 로그인한 뒤, 두 개의 스레드나 프로세스를 동시에 실행해 ipvlan_add_addr() 를 호출할 수 있음을 의미합니다. 이 경우 필요한 전제조건은 ① 커널 5.x 이상이 설치된 Linux 시스템, ② IPvLAN 장치를 생성하고 IP 주소를 동적으로 추가·삭제할 수 있는 권한(일반 사용자 수준)이며, 별도의 네트워크 외부 접근이나 특수 권한 상승 없이도 공격 흐름을 시작할 수 있습니다. EPSS 값이 0.00107로 매우 낮고 KEV에 등재되지 않았다는 점은 현재까지 실제 악용 사례가 보고되지 않았으며, 위험도가 이론적 심각도와는 별개로 실증적으로 낮다는 근거가 됩니다. 그러나 취약점 자체는 addrs_lock이 장치 전체가 아닌 포트별로 보호되지 않아 두 CPU가 동시에 주소를 추가할 경우 ipvlan_addr_busy() 가 잘못된 상태를 반환하는 경쟁 조건을 야기합니다. 이 경쟁 조건은 로컬에서 다중 스레드·다중 프로세스를 이용해 의도적으로 동시성을 만들 수 있다면, 커널 내부 데이터 구조를 일관성 없이 조작하여 서비스 거부(DoS) 혹은 메모리 손상을 초래할 가능성이 존재합니다. 따라서 공격 표면은 IPvLAN 장치가 활성화된 모든 로컬 엔드포인트와 netlink/ioctl 인터페이스이며, 이를 통해 주소 추가·삭제 요청을 반복적으로 전송하는 것이 핵심적인 트리거 조건이 됩니다. (난이도는 “hard”로 평가되었지만, 실제 공격 성공 확률은 EPSS가 보여주듯 낮은

• 기술적 위험: 경쟁 상태가 발생하면 ipvlan_addr_busy() 가 잘못된 결과를 반환하여 중복 IP 할당이 이루어질 수 있고, 이는 커널 메모리 손상·패닉을 유발해 시스템 전체가 다운될 가능성이 있습니다. 또한 권한 상승(Privilege Escalation) 시나리오로 이어질 여지도 존재합니다.
• 비즈니스 영향:
  • 영향을 받는 커널 버전이 광범위(4.17‑5.10.249, 5.11‑5.15.199, 5.16‑6.1.162, 6.2‑6.6.122, 6.7‑6.12.68, 6.13‑6.18.8 등)하므로, 컨테이너·가상화 환경에서 IPVLAN을 활용하는 서버·클라우드 인프라 전반에 노출될 수 있습니다.
  • 서비스 중단(Denial of Service) 및 권한 상승으로 인한 데이터 무결성 훼손은 가용성·규제·신뢰도 측면에서 심각한 비즈니스 리스크를 초래합니다.
• 노출 규모: 다중 소스 교차검증([교차검증] “다중 소스에서 일관성이 확인됐다”)에 따라 동일 취약점이 여러 배포판·커널 빌드에 존재함을 확인했으며, 공급망 특성상 영향 범위가 광범위할 가능성이 높습니다.

• IPVLAN과 유사한 주소 관리 경쟁 상태는 과거 CVE‑2021‑4034(Polkit)와 같이 로컬 권한 상승에 활용될 수 있는 패턴을 공유합니다.
• 현재 확인된 직접적인 체이닝 CVE 번호는 없으며, 다른 커널 스핀락 관련 취약점과 결합될 경우 추가적인 권한 상승 경로가 형성될 수 있습니다.

• 로그 기반: dmesg 혹은 시스템 로그에서 다음 패턴을 모니터링합니다.
  • 정규식 예시: ipvlan.*(addr|busy).*error
• 감사(Audit) 이벤트: auditd 로 netlink 를 통한 IPVLAN 인터페이스 생성·삭제와 동시에 IPv6 주소 변경(RTM_NEWADDR, RTM_DELADDR) 호출을 추적합니다.
• 커널 모듈 상태: lsmod | grep ipvlan 로 모듈이 로드된 시점에 비정상적인 재시작이나 패닉 로그가 발생하는지 확인합니다.

1. 패치 적용 – 공식 Linux 커뮤니티에서 제공한 최신 패치를 모든 영향을 받는 커널(4.17‑6.18.8 포함) 버전에 즉시 적용하고, 배포판 업데이트를 통해 최신 커널로 업그레이드합니다.
2. 모듈 비활성화 – IPVLAN 기능이 필요하지 않은 경우 /etc/modprobe.d/blacklist.conf 에 blacklist ipvlan 을 추가하여 모듈 로드를 차단합니다.
3. 권한 제한 – 일반 사용자에게 CAP_NET_ADMIN 권한을 부여하지 않으며, SELinux/AppArmor 정책으로 IPVLAN 인터페이스 생성·수정을 제한합니다.
4. 모니터링 강화 – 위 탐지 항목을 SIEM에 연동하여 실시간 알림을 설정하고, 경쟁 상태 발생 시 즉시 재부팅 또는 커널 롤백 절차를 마련합니다.

우선순위는 [우선순위 결정] “CVSS 7.8·EPSS 0.00107·exploit=hard” 를 근거로 이번 주 내에 scheduled 로 지정되었습니다. EPSS 수치는 현재 실측 악용 가능성이 낮지만(0.00107), 높은 심각도와 광범위한 영향 제품을 고려해 조속한 대응이 요구됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00107 · exploit=hard · in_scope=None