[공격] 분석 — CVE-2026-31450

• 심각도 high · CVSS 8.8 · EPSS 0.00533 · 악용난이도 hard

• 공격 표면

  • ext4 파일시스템이 마운트된 로컬 호스트
  • fast_commit 옵션이 활성화된 경우(mount -o remount,fast_commit …)
  • 사용자 공간에서 호출 가능한 시스템 콜: open, write, fsync/fdatasync, sync_file_range 등 → 내부적으로 ext4_inode_attach_jinode()와 jbd2_wait_inode_data()가 실행됨.

• 전제조건

  1. 커널 버전이 CVE-2026-31450 영향 범위에 포함되어야 함(3.11.1‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.168, 6.2‑6.6.134, 6.7‑6.12.81, 6.13‑6.18.21, 6.19‑6.19.11).
  2. fast_commit가 활성화돼 있어야 함(기본값은 활성).
  3. 공격자는 로컬 사용자 권한(PR:L)만 보유하면 충분함; 네트워크 접근은 필요하지 않음(AV:N).

• 단계
  1️⃣ 정찰 – uname -r·/proc/version으로 커널 버전 확인, mount | grep ext4 로 fast_commit 옵션 존재 여부 파악.
  2️⃣ 초기 접근 – 별도 권한 상승 없이 일반 사용자 계정으로 악성 바이너리를 실행.
  3️⃣ 레이스 트리거 – 다수 파일을 동시에 생성·쓰기하고, 높은 빈도로 fsync()(또는 fdatasync())를 호출해 ext4_inode_attach_jinode()가 반복 실행되도록 함. 동시에 fast‑commit 플러시 스레드가 jbd2_journal_init_jbd_inode() 진입을 시도하도록 타이밍을 맞춤(경쟁 조건).
  4️⃣ 커널 패닉 – 레이스 성공 시 ei->jinode 가 비어 있지 않은 상태로 전달돼 jbd2_wait_inode_data()가 초기화되지 않은 i_vfs_inode->i_mapping 을 역참조, 페이지 폴트 → Oops 로그와 함께 커널 패닉 발생.
  5️⃣ 영향 – 시스템 전체 중단(DoS). 추정: 재부팅 과정에서 부트스크립트를 조작할 경우 권한 상승 또는 지속성 확보 가능성이 존재함(추정: 실제 악용 사례는 보고되지 않음).

• CVSS ↔ 실제 조건 매핑

  • AV:N → 로컬 실행만으로 충분, 원격 접근 불필요.
  • AC:L → 파일 I/O 루프만으로 낮은 복잡도 구현 가능.
  • PR:L → 일반 사용자 권한으로 수행.
  • UI:N → 자동 스크립트로 무인 실행 가능.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:L/UI:N에 따라 네트워크를 통해 접근 가능한 엔드포인트가 존재하고, 공격자는 낮은 권한(일반 사용자)만으로도 실행할 수 있으며, 사용자 상호작용 없이 자동화된 트리거가 가능함을 의미합니다. 실제 공격 조건은 ext4 파일시스템이 마운트된 상태에서 여러 프로세스·스레드가 동시에 파일 fsync() 또는 write() 와 같은 I/O 호출을 수행하면서 fast‑commit 플러시 경로를 이용해 ext4_inode_attach_jinode() 함수를 레이스시키는 것입니다. 이 레이스가 발생하면 ei->jinode 이 아직 초기화되지 않은 i_vfs_inode에 연결된 채로 전달되어, 커널은 i_mapping을 역참조하면서 페이지 폴트·커널 패닉을 일으킵니다. EPSS 값 0.00533(≈0.5 %)은 현재까지 실제 악용 사례가 매우 드물지만, 낮은 공격 난이도와 네트워크 접근 가능성 때문에 잠재적 위협으로 평가됩니다.

• Denial‑of‑Service : 커널 패닉 후 재부팅 필요, 서비스 가용성 완전 상실.
• 잠재적 확장 위험 : 비정상 종료 시 부팅 단계에서 악성 모듈·스크립트를 삽입할 경우 권한 상승 또는 지속성이 확보될 수 있음(추정:).

• CWE‑366 (Race Condition Within Resource Access) – ext4_inode_attach_jinode()가 jinode를 너무 일찍 공개.
• CWE‑476 (NULL Pointer Dereference) – 초기화되지 않은 i_vfs_inode->i_mapping 역참조.
• 가능한 체이닝 패턴 : 레이스 조건 → NULL 포인터 deref → 커널 패닉 → 시스템 재부팅 시 부트스크립트·init 프로세스 조작 → 권한 상승/지속성 (추정: 실제 연계는 공격자의 추가 악용 코드가 필요).

• dmesg 혹은 /var/log/kern.log에 "BUG: unable to handle page fault" 와 함께 ext4 스택 트레이스(xas_find_marked, jbd2_wait_inode_data) 가 기록될 경우.
• auditd 로 syscall=74 (fsync)·unlink·rename·setattr 등 inode 변경 이벤트가 급증하면서 동시에 Oops 로그가 발생하면 알림.
• SIEM에서 커널 패닉 빈도 상승 혹은 재부팅 루프 감시 규칙을 추가.

1️⃣ 패치 적용 – 영향을 받는 커널 버전을 최신 릴리즈(또는 보수적으로 높은 버전)로 즉시 업데이트 (교차검증 결과 다중 소스에서 동일한 패치 제공 확인).
2️⃣ 임시 회피 – fast_commit 옵션 비활성화: mount -o remount,no_fast_commit /dev/<device> 또는 /etc/fstab에 no_fast_commit 추가.
3️⃣ sysctl 하드닝 – fs.protected_fifos=1, fs.protected_regular=1 설정으로 비특권 프로세스의 inode 플래그 변조를 제한(초기 단계 레이스 시도 억제).
4️⃣ 감시 강화 – auditd에 -a always,exit -F arch=b64 -S fsync -S unlink -S rename -S setattr 규칙을 추가하고 SIEM과 연동.
5️⃣ 커널 컴파일 옵션 – 필요 시 CONFIG_EXT4_FAST_COMMIT=n 로 빌드하여 fast‑commit 경로 자체를 제거(근본적인 방어).

위 조치는 EPSS 0.00533(실제 악용 가능성 낮음)에도 불구하고 CVSS 8.8·high 및 다중 제품 영향으로 이번 주 내(scheduled) 대응이 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00533 · exploit=hard · in_scope=None