[단독분석] 분석 — CVE-2024-56719

• 심각도 medium · CVSS 5.5 · EPSS 0.00209 · 악용난이도 hard

• 원리: stmmac 드라이버의 TSO(TCP Segmentation Offload) 처리 과정에서 DMA map/unmap 쌍이 불일치하는 결함입니다.
• 경로: priv->dma_cap.addr64 > 32인 환경에서 stmmac_tso_xmit() 내의 할당 순서 변경으로 인해, dma_unmap_single()에 전달되는 DMA 쿠키 값이 원래 dma_map_single()에서 반환된 값과 달라지게 됩니다.
• 단계: 64비트 주소 체계 사용 $\rightarrow$ 오프셋이 적용된 잘못된 DMA 쿠키 생성 $\rightarrow$ stmmac_tx_clean()에서 잘못된 주소 해제 시도 $\rightarrow$ Kernel Oops 발생 및 시스템 중단.

악용 가능성: 본 취약점은 Linux kernel의 stmmac 드라이버 내 TSO(TCP Segmentation Offload) 처리 과정에서 DMA API 사용 오류로 인해 발생하는 Kernel Oops(Crash) 취약점으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 최소 권한의 계정으로 접근하여 로컬 환경에서 실행 권한을 확보해야 하는 전제조건이 필요합니다. 공격 표면은 네트워크 인터페이스 카드의 TSO 기능을 처리하는 DMA 맵핑 매커니즘이며, 특히 priv->dma_cap.addr64 > 32인 특정 하드웨어 구성 환경에서 비정상적인 메모리 참조가 트리거됩니다. EPSS 수치가 0.00209로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 해당 취약점이 이론적 심각성과 달리 실제 야생(In-the-wild)에서 공격 코드로 구현되어 악용된 사례가 거의 없음을 시사합니다. 결과적으로 로컬 권한 확보라는 높은 진입 장벽과 특정 하드웨어 의존성으로 인해 일반적인 외부 침투 경로로 활용될 가능성은 낮으나, 시스템 가용성을 저해하는 DoS(Denial of Service) 유발 가능성이 존재합니다.

• 영향 제품: Linux Kernel 5.15.1715.16, 6.1.1166.2, 6.6.606.6.68, 6.11.76.12.7 등 광범위한 버전이 포함됩니다. 다중 소스 데이터 교차검증 결과 일관성이 확인되어 영향 범위가 넓은 공급망 취약점 특성을 가집니다.
• 기술적 위험: CVSS 벡터(AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)에 따라 기밀성이나 무결성 침해보다는 **가용성(Availability)**에 치명적인 영향을 줍니다. 잘못된 DMA 메모리 해제 시도로 인한 커널 패닉 및 시스템 크래시(Oops)가 발생합니다.
• 비즈니스 리스크: 네트워크 드라이버 수준의 장애이므로, 해당 커널을 사용하는 서버나 임베디드 장비의 갑작스러운 서비스 중단으로 인한 가용성 저하 및 비즈니스 연속성 훼손이 주된 리스크입니다.

• 패턴: DMA API 오용(Misuse)으로 인한 메모리 관리 오류 패턴입니다. 추정: 단독으로는 권한 상승이나 데이터 유출이 어려우나, 시스템 가용성을 떨어뜨려 다른 보안 메커니즘을 무력화하는 DoS 체이닝의 일부로 활용될 가능성이 있습니다.

• 로그 분석: 커널 로그(dmesg)에서 다음과 같은 패턴의 에러 메시지를 모니터링합니다.
  • Tx DMA map failed
  • DMA-API: ... device driver tries to free DMA memory it has not allocated (DMA_API_DEBUG 활성화 시)

• 근본 해결: 영향받는 커널 버전의 최신 보안 패치를 적용하여 stmmac_tso_allocator()에 전달되는 DMA 쿠키 관리 로직을 수정합니다.
• 우선순위 판단: 본 취약점은 EPSS 0.00209(낮은 실제 악용 확률) 및 exploit 등급 'hard', KEV 미등재 상태이며, 권한이 필요한 Local 공격 벡터(AV:L)를 가집니다. 따라서 규칙 기반 우선순위 결정에 따라 즉시 대응보다는 monitor(모니터링) 수준의 리소스 배분을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00209 · exploit=hard · in_scope=None