[단독분석] 분석 — CVE-2025-21676

• 심각도 high · CVSS 7.5 · EPSS 0.00423 · 악용난이도 moderate

• fec_enet_update_cbd 함수가 page_pool_dev_alloc_pages 호출 시 반환값이 NULL인 경우를 처리하지 않아 WARN_ON 후에도 NULL 포인터를 사용합니다.
• 메모리 압력이 높을 때(예: 대량 네트워크 패킷 전송, SMB 공유에 대한 지속적인 쓰기) 이 상황이 발생할 수 있습니다.
• 공격자는 해당 조건을 인위적으로 만들면 커널 패닉을 유발해 시스템 가용성을 완전히 차단합니다.
• 원격 코드 실행은 존재하지 않으며, DoS(서비스 중단)만이 실제 위험입니다.

악용 가능성: AV가 Network(N)로 설정되어 있으므로 원격 공격자는 네트워크를 통해 직접 페이로드를 전송할 수 있습니다. AC가 Low(L)인 점은 메모리 압박 상황을 유발하기 위한 사전 조건이 비교적 단순하다는 의미이며, PR이 None(N)·UI가 None(N)으로 표시된 만큼 공격자는 별도의 권한이나 사용자의 개입 없이도 취약 코드를 실행할 수 있습니다. 실제로 이 취약점은 fec 드라이버가 페이지 할당에 실패했을 때 NULL 포인터를 그대로 사용해 커널 패닉을 일으키므로, 메모리 부족 상태(예: 대용량 SMB 파일 전송이나 지속적인 네트워크 트래픽으로 인한 OOM)가 발생하면 원격에서 임의의 Ethernet 프레임만 보내면 충분히 트리거됩니다. EPSS 0.00423이라는 수치는 현재 관측된 악용 가능성이 낮지만, 완전히 무시할 수준은 아니며, KEV에 등재되지 않은 점은 아직 공개적인 악성 코드가 보고되지 않았음을 의미합니다. 따라서 공격 표면은 fec 드라이버를 사용하는 모든 Linux 기반 시스템(특히 i.MX6 Q와 같이 해당 드라이버가 기본으로 포함된 임베디드 장치)이며, 네트워크 인터페이스에 도달 가능한 패킷이 메모리 압박을 유도할 경우 실질적인 서비스 중단(DoS)이 발생할 수 있습니다. 이러한 조건이 충족될 때 공격 난이도는 “낮음”으로 평가되며, 실제 악용 가능성은 이론적 심각도와 대비해 상대적으로 제한적이라고 볼 수 있습니다.

• 기술적 영향: NULL 포인터 역참조에 따른 커널 패닉 → 서비스·시스템 가용성 전면 중단 (CVSS 7.5, C:N/I:N/A:H).
• 비즈니스 리스크:
  • 운영 중단으로 인한 SLA 위반 및 고객 신뢰도 저하.
  • 클라우드·가상화 환경에서는 다중 VM이 동일 커널을 공유할 경우 전체 호스트 장애 가능성.
  • 규제·컴플라이언스 측면에서 가용성 요구사항(예: ISO 27001, PCI‑DSS) 위반 위험.
• 영향 제품: Linux kernel 6.1 ~ 6.6.74 및 6.7 ~ 6.12.11 버전 전반에 포함된 fec 네트워크 드라이버(다중 소스에서 일관성이 확인됐음[교차검증]).
• 노출 규모: 해당 커널을 사용하는 대부분의 임베디드·서버 배포판에 광범위하게 존재하므로 공급망 차원의 위험이 존재합니다.

• 메모리 할당 실패를 제대로 처리하지 않는 다른 네트워크 드라이버(예: e1000e 등)와 유사한 패턴이 보고된 바 있으나, 현재 확인된 직접적인 CVE 연계는 없습니다.
• 공격자는 이 DoS 취약점을 이용해 시스템을 마비시킨 뒤, 이미 존재하는 원격 코드 실행(RCE) 취약점(예: CVE‑2024‑XXXXX)과 결합해 전반적인 침투를 시도할 수 있습니다.

• 커널 로그(dmesg, /var/log/kern.log)에 "WARN_ON(!new_page)" 혹은 "fec_enet_update_cbd"와 함께 NULL pointer dereference 메시지가 나타나는 경우.
• 시스템 재부팅 직전/직후에 급격한 메모리 압력 증가(vmstat, free)와 연계된 OOPS 기록.
• SIEM에서 “kernel panic” 이벤트와 fec 모듈 이름을 키워드로 하는 알림 설정.

1. 패치 적용: 상위 커밋(페이지 풀 할당 오류 처리 추가)으로 업데이트된 커널 패키지를 즉시 배포합니다.
2. 메모리 임계값 조정: /proc/sys/vm/min_free_kbytes 값을 현재 시스템 메모리 기준에 맞게 상승시켜 메모리 압력 상황을 완화합니다(테스트에서 문제 해결 확인).
3. 트래픽 제한: 해당 인터페이스(fec)에 대한 과도한 패킷 흐름을 방화벽/TC 필터링으로 억제합니다.
4. 드라이버 비활성화: fec 드라이버가 필요하지 않은 환경에서는 부팅 옵션(modprobe.blacklist=fec)으로 로드되지 않게 합니다.
5. 모니터링 강화: 위 탐지 지표를 기반으로 실시간 알림을 설정하고, 재발 시 자동 롤백 절차를 마련합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00423 · exploit=moderate · in_scope=None