[단독분석] 분석 — CVE-2025-71163
CVE-2025-71163 is a local reference‑leak issue in the idxd DMA engine driver that can cause kernel denial‑of‑service, and the highest‑priority action is to apply patched kernels while monitoring sysfs bind/unbind activity.
📋 요약
- 심각도 medium · CVSS 5.5 · EPSS 0.00193 · 악용난이도 hard
🔍 공격 기법
- 로컬 사용자가
/sys/.../idxd/compat_bind또는.../compat_unbind파일에 반복적으로 쓰기 요청을 하면, 드라이버가 idxd 디바이스를 조회하면서 획득한 참조를 해제하지 않아 레퍼런스가 누수됩니다. - 누적된 레퍼런스는 커널 메모리·객체 고갈을 일으키고, 최종적으로 커널 패닉 또는 재부팅으로 이어져 서비스 가용성을 파괴합니다(A:H).
악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 공격자가 로컬 시스템에 접근해 별도의 복잡한 전제조건 없이도 실행할 수 있음을 의미하지만, 해당 취약점은 idxd 디바이스가 존재하고 sysfs 의 compat‑bind/unbind 인터페이스가 활성화된 상황에서만 트리거됩니다. 따라서 공격자는 로컬 사용자 권한(보통 낮은 특권)만으로도 디바이스 레퍼런스를 해제하지 못하게 만들 수 있어, 실제 이용 난이도는 “hard” 등급에 부합합니다. EPSS 값 0.00193 은 현재 관측된 악용 가능성이 매우 낮다는 통계적 근거이며, KEV 목록에 포함되지 않은 점은 아직 실전에서 활용된 사례가 보고되지 않았음을 보여줍니다. 그러나 취약점이 존재하는 커널 버전에서는 특수한 sysfs 경로(예: /sys/bus/pci/devices/.../compat_bind) 를 통해 디바이스 레퍼런스를 조작할 수 있어, 악의적인 로컬 사용자가 해당 엔드
💥 영향 분석
- 기술적 위험: 레퍼런스 누수 → 메모리·객체 고갈 → 커널 패닉/재부팅 (가용성 손실). 기밀성(C)·무결성(I)은 영향을 받지 않음.
- 비즈니스 영향: 서비스 중단에 따른 SLA 위반, 고객 신뢰도 저하 및 복구 비용 증가. 가용성이 핵심인 금융·의료 등 규제 산업에서는 법적·재정적 페널티 위험이 존재합니다.
- 영향 제품·노출 규모: Linux 커널 5.15‑5.15.199, 5.16‑6.1.162, 6.2‑6.6.122, 6.7‑6.12.67, 6.13‑6.18.7 및 이후 버전 전체에 적용됩니다. 다중 소스에서 일관성이 확인됐으며(교차검증), 해당 커널을 사용하는 서버·컨테이너 전반이 잠재적 대상입니다.
🔗 관련 취약점·체이닝
- 동일한
dmaengine서브시스템 내에서 과거에 보고된 레퍼런스‑누수 버그와 패턴이 유사합니다. 로컬 권한 상승 취약점과 연계될 경우, 먼저 높은 권한을 확보한 뒤 DoS 효과를 가속화할 수 있습니다(구체적 CVE 번호는 확인되지 않음).
🔎 탐지
dmesg·/var/log/kern.log에 “reference count” 오류 또는 “device leak”와 같은 메시지가 반복적으로 기록되는 경우.auditd규칙으로/sys/**/drivers/idxd/*경로에 대한open/write이벤트를 감시하고, 짧은 시간(예: 1분) 내 다수 요청이 발생하면 알림을 생성합니다.- OOM Killer 로그 급증과 동시에 위 로그가 포착되면 연관성을 검토합니다.
🛡️ 완화 방안
- 패치 적용 – CVE-2025-71163 수정을 포함한 최신 커널(5.15.x 이상, 6.1.x 이상 등)으로 업데이트합니다.
- 접근 제한 – idxd 드라이버가 필요 없을 경우 모듈 로드를 차단하고, 해당 sysfs 경로의 파일 권한을 최소화(예: 600)하며 SELinux/AppArmor 정책으로 접근을 제어합니다.
- 모니터링 강화 – 위 탐지 지표를 기반으로 실시간 알림을 설정하고, 비정상적인 빈도가 감지되면 서비스 재시작·재부팅 절차를 즉시 수행합니다.
- 자산 파악 – 영향을 받는 커널 버전을 운영 중인 시스템 목록을 작성해 패치 우선순위를 정하고, 정기적인 패치 관리 프로세스를 강화합니다.
우선순위 근거: CVSS 5.5·non‑KEV·EPSS 0.00193(실제 악용 가능성 낮음)·exploit difficulty hard·in_scope None → “monitor”가 권고되었습니다(우선순위 결정 논리).
⚖️ 위험도 / 우선순위
- 조치: monitor (모니터링)
- 근거: CVSS=5.5 · non-KEV · EPSS=0.00193 · exploit=hard · in_scope=None