[공격] 분석 — CVE-2025-68820

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• 공격 표면: EXT4 파일시스템이 마운트된 Linux 커널에서 setxattr, getxattr, listxattr 등 xattr 관련 시스템 콜을 호출할 때 내부 함수 ext4_raw_inode()가 실행됩니다.
• 트리거 조건: ext4_get_inode_loc()가 -EFSCORRUPTED를 반환하도록 만든 경우(예: 손상된 inode 구조, 의도적으로 조작한 파일시스템 이미지). 이때 iloc.bh 가 NULL 로 남고, 이후 ext4_xattr_inode_dec_ref_all()이 오류 검사를 하지 않아 ext4_raw_inode()에서 널 포인터 역참조가 발생합니다.
• 전형적 단계
  1️⃣ 정찰 – 시스템에 EXT4 파티션 존재 여부와 xattr 지원 여부(mount -o user_xattr) 확인.
  2️⃣ 초기 접근 – 파일 업로드·복사 등으로 대상 파티션에 접근 가능한 권한 확보(일반 사용자 계정이면 충분).
  3️⃣ 조건 조작 – debugfs, e2fsprogs 또는 특수 제작 이미지로 손상된 inode 메타데이터를 삽입하거나, 기존 파일의 블록을 직접 수정해 ext4_get_inode_loc()가 실패하도록 함.
  4️⃣ 실행 – 조작된 파일에 대해 setxattr(또는 getxattr) 호출 → 커널 내부에서 널 포인터 역참조 발생 → OOPS/Kernel panic.
• 공격 결과: 시스템 전체가 멈추거나 재부팅되며, 서비스 거부(Denial‑of‑Service) 효과를 얻음. 권한 상승은 직접 제공되지 않지만, 공격자는 높은 가용성을 요구하는 환경에서 운영 중단을 유발할 수 있음.
• CVSS 벡터(예시): AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:N/A:H – 로컬 접근, 높은 난이도, 권한 필요 없음, 서비스 거부 효과가 주된 영향.

악용 가능성: 이 취약점은 Attack Vector = Local, 즉 공격자가 로컬 시스템에 접근해야만 트리거될 수 있습니다. 실제로 ext4_get_inode_loc()가 ‑EFSCORRUPTED를 반환하도록 파일시스템을 손상시키고, 이어서 xattr 관련 API(setxattr, getxattr 등)를 호출해야 하므로 Attack Complexity = High이며, 정상적인 파일 입출력 흐름에 비정상적인 오류 상황을 강제로 만들기가 어렵습니다. 또한 해당 함수들은 보통 루트 권한으로 마운트된 파일시스템에서만 사용되기 때문에 Privileges Required = High, 일반 사용자 계정에서는 접근이 제한됩니다. 사용자 개입은 필요하지 않으므로 User Interaction = None입니다. EPSS가 0.00177(≈0.18 %)로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 심각도와 달리 실제 공격 시나리오가 거의 관측되지 않고 활용 가능성이 제한적임을 뒷받침합니다. 공격 표면은 ext4 파일시스템의 xattr 처리 경로

성공 시 커널 패닉으로 시스템이 비정상 종료되며, 재시작 전까지 모든 프로세스와 서비스가 중단됩니다. 데이터 손실 위험은 파일시스템 복구 과정에 따라 달라질 수 있습니다.

• 유형: CWE‑476 (Null Pointer Dereference).
• 가능한 체인: 다른 파일시스템 메타데이터 변조 버그(CWE‑366 등)와 결합하면 ext4_get_inode_loc() 실패를 더 쉽게 유도할 수 있습니다. 예를 들어, 디스크 이미지 업로드 서비스가 존재한다면 해당 서비스를 통해 손상된 inode을 삽입하고, 이어서 xattr 호출로 본 취약점을 트리거하는 정보 조작 → DoS 체인이 형성됩니다.
• 추정: 현재 알려진 직접적인 CVE 연계는 없으며, 동일 파일시스템 내 메타데이터 손상 버그와 결합될 경우 공격 범위가 확대될 수 있습니다.

• 커널 로그(dmesg, /var/log/kern.log)에 ext4_raw_inode 함수에서 “null pointer dereference” 혹은 “BUG: unable to handle kernel NULL pointer dereference” 메시지가 반복적으로 기록되는 경우.
• OOPS 발생 후 자동 재부팅 로그와 함께 ext4_xattr_inode_dec_ref_all 호출 스택이 포함된 경우.
• xattr 관련 시스템 콜(setxattr, getxattr) 직후 비정상적인 커널 oops가 포착되면 경보를 생성합니다.

1️⃣ 패치 적용 – Linux 커널 최신 패치를 배포하고, 해당 취약점을 수정한 버전(예: 6.8.x 이후)으로 업그레이드합니다.
2️⃣ 임시 우회 – 신뢰할 수 없는 파일시스템에 대해 user_xattr 옵션을 비활성화(mount -o nouser_xattr)하거나, 전체 파티션에서 xattr 기능을 차단합니다.
3️⃣ 무결성 검사 – 정기적인 fsck.ext4 실행으로 손상된 inode 존재 여부를 사전 탐지하고 복구합니다.
4️⃣ 로그 모니터링 – 위 탐지 항목을 SIEM에 연동해 실시간 알림을 설정하고, 반복 발생 시 즉시 시스템 재부팅 및 조사 절차를 수행합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None