[분석가] 분석 — CVE-2026-64600

• 심각도 미상 · CVSS 미상 · EPSS 0.00724 · 악용난이도 hard

(1) 트리거 조건: Linux 커널의 XFS 파일시스템에서 xfs_reflink_fill_{cow_hole,delalloc} 헬퍼 함수가 호출될 때, ILOCK을 해제하고 트랜잭션을 획득한 후 다시 ILOCK을 재획득하는 과정(cycle)이 발생합니다. 이때 데이터 포크 매핑(data fork mapping)이 갱신되지 않고 stale 상태로 유지되는 결함이 트리거됩니다.
(2) 공격 단계:

• 정찰 및 전제조건: XFS 파일시스템이 마운트된 환경에서 reflink 기능과 directio write가 가능한 권한을 확보해야 합니다.
• 실행: ILOCK 사이클링 과정에서 데이터 포크 매핑이 갱신되지 않은 시점에 xfs_bmap_trim_cow가 잘못된 물리 블록에 대해 refcount btree를 쿼리하도록 유도합니다.
• 영향: *shared 값이 부정확하게 반환되어, stale한 매핑을 기반으로 directio write가 수행됩니다.
  (3) 공격 표면: XFS 파일시스템의 reflink 및 COW(Copy-on-Write) 관련 시스템 콜 인터페이스입니다.
  (4) CVSS 벡터 연결: CVSS 점수가 미상이나, 커널 내부 락(Lock) 경쟁 상태를 이용하므로 AC(공격 복잡도)는 High로 추정되며, 로컬 권한이 필요하므로 PR(권한 필요)은 Low 또는 High로 추정됩니다.

악용 가능성: 본 취약점은 Linux kernel의 XFS 파일 시스템 내 xfs_reflink_fill 헬퍼 함수들이 ILOCK을 해제 후 재획득하는 과정에서 data fork mapping이 최신화되지 않아 발생하는 Race Condition 계열의 결함입니다. CVSS 벡터상 Local 권한(PR:L)과 복잡한 타이밍 조건(AC:H)이 요구되므로, 공격자가 시스템에 이미 접근하여 특정한 파일 조작 시나리오를 정밀하게 설계해야 하는 Hard 난이도로 판정됩니다. 공격 표면은 XFS 파일 시스템의 reflink 및 cow(Copy-on-Write) 메커니즘과 관련된 커널 내부 함수 및 관련 시스템 호출(syscall)로 제한됩니다. EPSS 수치는 0.00724로 매우 낮으며 KEV에 등재되지 않은 점은, 이론적인 메모리 오염 가능성과 별개로 실제 야생(In-the-wild)에서 악용된 사례가 미관측되었음을 시사합니다. 결과적으로 공격자가 정확한 타이밍에 shared 값의 불일치를 유도하여 stale mapping을 통해 Direct I/O 쓰기를 수행해야 하므로, 실질적인 악용 가능성은 낮으나 커널 권한 상승이나 데이터 무결성 훼손의 잠재적 위험을 내포하고 있습니다.

(1) 기술적 위험: stale한 데이터 포크 매핑을 사용하여 쓰기 작업이 수행됨에 따라, 의도하지 않은 물리 블록에 데이터가 기록되는 데이터 오염(Data Corruption) 또는 메모리 무결성 훼손 가능성이 있습니다.
(2) 비즈니스 영향: 파일시스템 수준의 데이터 불일치로 인해 서비스 가용성이 저하되거나, 저장된 데이터의 신뢰성이 상실될 수 있습니다. 다만, 구체적인 영향 제품과 노출 규모가 미상인 상태이므로 실제 피해 범위는 제한적일 것으로 추정됩니다.

• 유형: Race Condition 및 Stale Pointer/Mapping 참조 결함입니다.
• 체이닝 패턴: 추정: [로컬 파일시스템 접근] $\rightarrow$ [Race Condition 유도] $\rightarrow$ [데이터 포크 매핑 오염] $\rightarrow$ [임의 메모리/디스크 쓰기 또는 권한 상승]으로 이어지는 체인이 가능할 수 있습니다.

(1) 로그 지표: 커널 링 버퍼(dmesg) 내 XFS 관련 I/O 에러, XFS 파일시스템 손상 경고, 또는 비정상적인 커널 패닉(Kernel Panic) 로그를 확인해야 합니다.
(2) 탐지 규칙 예시:

• 로직: 특정 프로세스가 단시간에 매우 빈번하게 reflink 관련 시스템 콜을 호출하며 I/O 에러가 동반되는 패턴 감시.
• 의사코드: IF (process_event == XFS_REFLINK_OP AND event_frequency > THRESHOLD) AND (kernel_log CONTAINS "XFS" AND "corruption") THEN ALERT
  (3) 오탐 시나리오 및 튜닝: 대규모 데이터 마이그레이션이나 백업 솔루션의 snapshot 작업 시 유사한 패턴이 발생할 수 있습니다. 신뢰할 수 있는 백업 프로세스의 PID를 화이트리스트에 추가하여 튜닝합니다.

• 즉시(긴급 차단): XFS의 reflink 기능을 사용하지 않는 환경이라면 해당 기능의 활용을 제한하거나, 의심되는 비정상적 I/O 패턴을 보이는 사용자 계정을 일시 격리합니다. (난이도: 하 / 영향: 낮음 / 검증: 시스템 콜 모니터링)
• 단기(완화): 중요 데이터에 대해 정기적인 xfs_repair 또는 파일시스템 체크를 수행하여 오염 여부를 조기에 발견합니다. (난이도: 중 / 영향: 점검 시간 동안 가용성 저하 / 검증: fsck 결과 확인)
• 근본(해결): 해당 취약점이 해결된 최신 Linux 커널 버전으로 업데이트합니다. ILOCK 사이클 후 시퀀스 카운터 변경 시 데이터 포크 매핑을 다시 쿼리하도록 수정된 패치를 적용하십시오. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: 커널 버전 확인)

[파이프라인 근거] 본 리포트는 다중 소스 교차검증을 통해 결함의 원리(ILOCK cycling 및 stale mapping)에 대한 일관성을 확인하였습니다. 실측 EPSS 값인 0.00724와 악용 난이도 'hard', KEV 미등재 사실을 근거로, 이론적 심각도보다는 실제 악용 가능성이 매우 낮다고 판단하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00724 · exploit=hard · in_scope=None