[분석가] 분석 — CVE-2024-56631

• 심각도 high · CVSS 7.8 · EPSS 0.00285 · 악용난이도 hard

(1) 트리거 조건: sg_release() 함수 내에서 open_rel_lock 뮤텍스를 해제하기 전 kref_put()을 호출하여 sfp 객체의 참조 횟수가 0이 되면, sg_remove_sfp() 및 sg_remove_sfp_usercontext()가 실행되어 sfp 메모리가 조기에 해제됩니다. 이후 함수가 계속 진행되며 이미 해제된 sfp 또는 sdp 메모리 영역을 참조할 때 Use-After-Free(UAF)가 발생합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 시스템에 대한 일반 사용자 권한 획득 (PR:L).
• 실행/권한 획득: SCSI 제네릭 장치(/dev/sg*)에 접근하여 특정 시퀀스로 파일을 열고 닫아 sg_release() 내의 Race Condition 또는 UAF 상태를 유도. 추정: 해제된 메모리 영역을 공격자가 제어하는 데이터로 재할당(Slab Spraying)하여 커널 함수 포인터를 조작, 권한 상승 시도.
• 영향: 커널 패닉으로 인한 시스템 중단(DoS) 또는 커널 모드에서의 임의 코드 실행.
  (3) 공격 표면: Linux 커널의 SCSI generic (sg) 드라이버 및 관련 장치 파일 인터페이스.
  (4) CVSS 벡터 연결: AV:L (로컬 접근 필요), AC:L (공격 복잡도 낮음), PR:L (낮은 수준의 권한 필요), UI:N (사용자 상호작용 불필요).

악용 가능성: 본 취약점은 Linux kernel의 sg_release() 함수 내에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터의 AV:L 및 PR:L 조건에 따라, 공격자는 시스템에 이미 유효한 사용자 계정 권한을 가지고 로컬 환경에서 접근해야 하는 제약이 있습니다. 구체적인 공격 표면은 SCSI generic(sg) 드라이버와 관련된 디바이스 파일 및 관련 I/O 컨트롤 파라미터이며, kref_put 호출 이후 뮤텍스 락(open_rel_lock)을 해제하는 과정에서 이미 해제된 메모리 영역에 접근하는 트리거 조건이 필요합니다. EPSS 수치가 0.00285로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 커널 패닉이나 권한 상승 가능성과 별개로 실제 야생(In-the-wild)에서의 악용 사례가 거의 관측되지 않았음을 시사합니다. 따라서 낮은 공격 표면 노출도와 엄격한 전제 조건으로 인해 즉각적인 대규모 악용 가능성은 낮으나, 로컬 권한을 가진 내부 위협자에 의한 커널 불안정성 유발 위험이 존재합니다.

(1) 기술적 위험:

• Memory Corruption으로 인한 시스템 크래시 및 가용성 상실.
• 커널 메모리 영역의 제어권 획득 시, 일반 사용자 권한에서 루트(root) 권한으로의 권한 상승(Privilege Escalation).
  (2) 비즈니스 영향:
• 영향 제품 범위가 Linux Kernel 3.16.85부터 6.12.5까지 매우 광범위하여 다수의 서버 및 임베디드 시스템이 노출되었을 가능성이 높음.
• 시스템 전체 권한 탈취 시 데이터 유출 및 무결성 파괴 위험이 있으며, 핵심 인프라의 경우 서비스 중단으로 인한 비즈니스 연속성 저해 발생.

• 유형: Memory Corruption $\rightarrow$ Use-After-Free (CWE-416).
• 체이닝 패턴: 추정: 커널 주소 공간 배치 무작위화(KASLR)를 우회하기 위한 별도의 정보 노출(Information Leak) 취약점과 체이닝될 경우, 메모리 오염을 통한 권한 상승 성공률이 비약적으로 높아지는 전형적인 커널 익스플로잇 패턴을 따를 것으로 보임.

(1) 로그 지표:

• 커널 로그(dmesg, /var/log/syslog) 내 KASAN: slab-use-after-free in lock_release 또는 BUG: KASAN 메시지 확인.
• SCSI 드라이버 관련 세그멘테이션 폴트(Segmentation Fault) 및 커널 패닉 덤프 발생 여부.
  (2) 탐지 규칙 예시:
• SIEM/로그 분석 로직: message CONTAINS "slab-use-after-free" AND message CONTAINS "sg_release"
• KASAN 활성화 시스템 모니터링: grep -r "slab-use-after-free" /var/log/kern.log
  (3) 오탐 시나리오 및 튜닝: KASAN은 개발/테스트 환경에서 주로 활성화되므로, 운영 환경에서는 로그에 남지 않을 수 있음. 실제 운영 서버에서는 비정상적인 커널 패닉 빈도 증가를 모니터링하되, 하드웨어 결함으로 인한 크래시와 구분하기 위해 스택 트레이스 내 sg_release 함수 포함 여부를 확인하여 튜닝.

• 즉시(긴급 차단): 일반 사용자의 /dev/sg* 장치 접근 권한 제한 (udev 규칙 또는 파일 퍼미션 수정). [난이도: 하 / 영향: 일부 SCSI 관리 도구 작동 불가 가능성 / 검증: ls -l /dev/sg* 확인]
• 단기(완화): 시스템 모니터링 강화 및 KASAN/Kmemleak 등 메모리 디버깅 도구가 활성화된 환경에서 이상 징후 감시. [난이도: 중 / 영향: 성능 저하 발생 가능 / 검증: 커널 로그 실시간 모니터링]
• 근본(해결): Linux 커널을 패치된 최신 버전으로 업데이트 (취약점이 해결된 sg_release() 수정 버전 적용). [난이도: 중 / 영향: 시스템 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r 및 커널 릴리즈 노트 확인]

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된(신뢰도 1.0) 결과를 바탕으로 하며, 실측 EPSS 값(0.00285, 백분위 0.20783)을 통해 실제 야생 악용 가능성은 현재 매우 낮음을 반영하였습니다. 또한 KEV 미등재 및 exploit 등급 'hard'를 근거로 우선순위를 scheduled(이번 주 내)로 결정하여 리소스 배분을 최적화하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00285 · exploit=hard · in_scope=None