[단독분석] 분석 — CVE-2025-71098

• 심각도 medium · CVSS 5.5 · EPSS 0.00114 · 악용난이도 hard

본 취약점은 Linux 커널의 ip6_gre 모듈 내 ip6gre_header() 함수에서 발생합니다.

• 촉발 경로: team 또는 bonding 드라이버가 dev->needed_headroom 및 dev->hard_header_len 값을 동적으로 변경할 때, mld_newpack()이 할당한 skb(socket buffer)의 reserve/headroom 공간이 부족한 상태에서 ip6gre_header()가 호출되며 발생합니다.
• 작동 원리: 부족한 headroom 상태에서 skb_push를 통해 헤더를 추가하려 시도하면, 커널은 메모리 경계 침범을 감지하여 skb_under_panic을 유발하고 시스템이 중단(Kernel Panic)됩니다.

악용 가능성: 본 취약점은 Linux kernel의 ip6_gre 모듈 내 ip6gre_header() 함수에서 발생하는 메모리 처리 오류로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터(AV:L/AC:L/PR:L/UI:N)에 따라 공격자는 시스템에 대한 로컬 접근 권한과 낮은 수준의 특권(PR:L)을 이미 보유해야 하며, 이는 외부망에서의 직접적인 침투보다는 내부 권한 상승이나 서비스 거부(DoS) 유발 시나리오에 해당합니다. 실제 공격 표면은 ip6gre 디바이스와 team 또는 bonding 드라이버가 결합된 네트워크 인터페이스 설정이며, 특히 skb의 headroom 및 reserve 값이 동적으로 변경되는 정교한 타이밍 조건이 트리거되어야 합니다. EPSS 수치가 0.00114로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 능동적인 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실제 공격 성공 가능성은 제한적입니다. 결과적으로 본 취약점은 특정 네트워크 구성 환경에서 로컬 권한을 가진 사용자가 커널 패닉을 유도하여 시스템 가용성을 해칠 수 있는 위험을 내포하고 있습니다.

• 기술적 위험: 본 취약점의 결과는 서비스 중단(Denial of Service, DoS)으로 제한됩니다. 공격자가 로컬 권한(PR:L)을 가지고 특정 네트워크 설정(IPv6 GRE 및 Bonding/Team 드라이버)을 조작할 수 있을 때 시스템 전체가 크래시되는 가용성 침해 사고가 발생합니다. 데이터 유출이나 권한 상승에 대한 근거는 미관측되었습니다.
• 비즈니스 리스크: 영향 제품 범위가 Linux 커널 3.7.1부터 6.18.4까지 매우 광범위하여, IPv6 GRE 터널링을 사용하는 엔터프라이즈 네트워크 인프라 및 클라우드 호스트의 가용성에 잠재적 위협이 됩니다.
• 노출 규모: 다중 소스 데이터 교차검증 결과 영향 제품군이 8개 이상의 메이저 버전 범위에 걸쳐 있어 노출 규모가 매우 넓은 공급망 취약점 특성을 보입니다.

• 유형 및 패턴: skbuff 메모리 관리 미흡으로 인한 Kernel Panic 패턴입니다.
• 체이닝 가능성: 추정: 로컬 권한을 획득한 공격자가 시스템 가용성을 완전히 무너뜨려 보안 솔루션의 작동을 방해하는 등의 서비스 거부 체이닝에 활용될 수 있습니다.

• 커널 로그 분석: dmesg 또는 /var/log/syslog에서 다음과 같은 패턴의 커널 패닉 로그를 모니터링합니다.
  • kernel BUG at net/core/skbuff.c
  • skb_under_panic
  • Call Stack 내 ip6gre_header 및 skb_push 포함 여부 확인

• 근본 해결: 영향 범위에 해당하는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하십시오. (ip6gre_header() 함수가 robust하게 수정된 버전 적용)
• 즉시 조치:
  • 불필요한 ip6gre 모듈 로드 제한 및 사용하지 않는 IPv6 GRE 터널링 설정 제거.
  • 신뢰할 수 없는 로컬 사용자의 네트워크 인터페이스 설정 변경 권한 제한.

[분석 근거]

• 데이터 신뢰도: 다중 소스 간 데이터 일관성이 확인되어 신뢰도 1.0으로 분석되었습니다.
• 악용 가능성: EPSS 실측값 0.00114(백분위 0.01763)는 이론적 심각도(CVSS 5.5)와 별개로 실제 야생에서의 악용 확률이 매우 낮음을 의미합니다.
• 우선순위 결정: CVSS 점수가 Medium이며, KEV 미등재 및 EPSS 수치가 극히 낮고, 공격 난이도가 hard로 판정됨에 따라 대응 우선순위를 monitor(모니터링)로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00114 · exploit=hard · in_scope=None