[공격] 분석 — CVE-2025-40214

• 심각도 미상 · CVSS 미상 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건
af_unix 소켓의 Garbage Collection(GC) 과정에서 unix_add_edge() 함수가 scc_index를 적절히 초기화하지 않아 발생함. 특정 순서로 소켓 간 순환 참조(Cyclic Reference)를 생성하고 파괴하는 과정을 통해, 살아있는 상태인 in-flight 소켓의 수신 큐가 GC 대상에 포함되어 해제되는 조건이 형성됨.

(2) 공격 단계

• 정찰 및 환경 준비: 로컬 사용자 권한으로 AF_UNIX 소켓 생성 가능 여부 확인. (전제: 커널 내 AF_UNIX 활성화 상태)
• 초기 접근: 비특권 프로세스로 실행되어 다수의 소켓을 이용해 복잡한 참조 그래프 구축.
• 실행/취약점 트리거:
  1. 다수 소켓으로 순환 참조 생성 후 close() $\rightarrow$ GC 유도.
  2. Embryo 소켓과 In-flight 소켓 간의 특정 연결 상태(sk-A, sk-B, sk-X)를 구성하여 unix_graph_grouped와 unix_graph_maybe_cyclic 플래그 조작.
  3. accept() 및 close()를 정밀하게 타이밍하여 GC가 유효한 소켓 큐를 해제하도록 유도. (지표: 커널 패닉 또는 메모리 오염)
• 권한 획득: Use-After-Free(UAF) 상태의 메모리 영역을 공격자가 제어하는 데이터로 덮어써서 함수 포인터 조작 및 권한 상승 시도.

(3) 공격 표면

• 엔드포인트/함수: unix_add_edge(), unix_walk_scc(), unix_update_graph() 등 Linux Kernel 내 AF_UNIX 관련 내부 함수.
• 프로토콜: AF_UNIX (Unix Domain Sockets).

(4) CVSS 벡터 기반 공격 조건 분석

• AV:L (Local): 네트워크를 통한 원격 공격은 불가하며, 시스템에 접근 가능한 로컬 계정이 필요함.
• AC:H (High): 소켓의 상태와 GC 타이밍을 정밀하게 맞추어야 하므로 실행 난이도가 매우 높음.
• PR:L (Low): 일반 사용자 권한으로도 AF_UNIX 소켓 생성 및 조작이 가능함.

악용 가능성: 본 취약점은 AF_UNIX 프로토콜의 Garbage Collection(GC) 메커니즘 내 scc_index 초기화 누락으로 인해 발생하며, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 Local 권한(AV:L)과 낮은 복잡도(AC:L)를 가지나, 실제 악용을 위해서는 커널 메모리 내의 소켓 상태를 정교하게 조작하여 특정 순서(3단계의 복잡한 시퀀스)로 Cyclic Reference를 생성하고 GC를 트리거해야 하는 까다로운 전제조건이 필요합니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 Use-After-Free 가능성에도 불구하고 실제 야생(In-the-wild)에서 자동화된 공격으로 활용되기에는 트리거 조건이 매우 특수함을 시사합니다. 주요 공격 표면은 AF_UNIX 소켓 엔드포인트이며, 구체적으로는 unix_add_edge() 함수와 관련된 소켓 간의 연결 생성 및 파괴 과정이 타겟입니다. 결과적으로 공격자는 로컬 쉘 권한을 통해 커널 내 소켓 객체의 생명주기를 제어함으로써 메모리 오염을 유도해야 하므로, 단순 실행보다는 정교한 커널 익스플로잇 체이닝의 일부로 사용될 가능성이 높습니다.

(1) 기술적 위험

• Use-After-Free: 유효한 소켓 큐가 해제된 후 참조될 때 메모리 오염 발생.
• 권한 상승 (Privilege Escalation): 커널 메모리를 조작하여 일반 사용자에서 Root 권한으로 상승 가능성.
• 서비스 중단 (DoS): 잘못된 메모리 참조로 인한 Kernel Panic 및 시스템 리부팅.

(2) 비즈니스 영향

• 시스템 무결성 파괴: 로컬 공격자가 커널 권한을 획득할 경우 컨테이너 격리 우회 및 호스트 장악 가능.
• 가용성 저하: 서버 크래시로 인한 서비스 중단 발생.

• 추정: UAF $\rightarrow$ Kernel Address Leak $\rightarrow$ Privilege Escalation: 본 결함으로 발생한 UAF를 통해 커널 메모리 주소를 유출하고, 이를 이용해 KASLR을 우회한 뒤 권한 상승 페이로드를 실행하는 전형적인 커널 익스플로잇 체인이 예상됨.
• 추정: Race Condition $\rightarrow$ UAF: GC 트리거 시점과 소켓 상태 변경 시점 사이의 경쟁 상태(Race Condition)를 이용하여 윈도우를 넓히는 기법이 사용될 수 있음.

(1) 로그 지표

• dmesg 또는 /var/log/syslog 내 kernel: General protection fault, kernel: Unable to handle kernel paging request 등 커널 패닉 메시지 확인.
• AF_UNIX 관련 비정상적인 소켓 생성/삭제 반복 패턴.

(2) 탐지 규칙 예시

• 로직: 짧은 시간 내에 다수의 Unix Domain Socket을 생성하고 순환 참조를 만들기 위해 상호 전송하는 행위 모니터링.
• SIEM 쿼리 (의사코드): SELECT host, user FROM syscall_logs WHERE syscall='socket' AND domain='AF_UNIX' GROUP BY user HAVING count(*) > [THRESHOLD] WITHIN 1s

(3) 오탐 시나리오 및 튜닝

• 오탐: 복잡한 IPC를 사용하는 정상적인 애플리케이션이 다수의 소켓을 빠르게 생성/삭제할 때 발생 가능.
• 튜닝: 특정 프로세스(화이트리스트) 제외 처리 및 단순 생성이 아닌 '순환 참조' 패턴의 시스템 콜 시퀀스 분석으로 정밀도 향상.

• 즉시 (긴급 차단):
  • 불필요한 로컬 사용자의 Shell 접근 제한 및 unprivileged_userns_clone 비활성화(설정 가능 시)를 통해 공격 표면 축소. (난이도: 하 / 영향: 낮음)
• 단기 (완화):
  • 커널 메모리 보호 기법(KASLR, Control Flow Integrity 등) 최신화 및 모니터링 강화. (난이도: 중 / 영향: 매우 낮음)
• 근본 (해결):
  • unix_add_edge()에서 scc_index를 초기화하도록 수정된 최신 Linux 커널 버전으로 업데이트. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 가용성 저하)

[파이프라인 근거]
본 분석은 다중 소스에서 일관되게 보고된 AF_UNIX GC 결함 사실을 근거로 작성되었습니다. 실측 EPSS 값(0.00171, 백분위 0.06673)은 이론적 심각도와 별개로 현재 실제 야생에서의 악용 가능성이 매우 낮음을 의미합니다. 이에 따라 KEV 미등재 및 exploit=hard 조건을 반영하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None