[단독방어] 분석 — CVE-2025-71267

• 심각도 medium · CVSS 5.5 · EPSS 0.00121 · 악용난이도 hard

NTFS 이미지에 ATTR_LIST 속성의 data_size 를 0 으로 조작합니다.
ntfs_load_attr_list() 가 al_aligned(0) 로 메모리를 할당하면서 비정상적인 상태가 발생하고, ni_enum_attr_ex 가 ATTR_LIST 를 다시 읽어 들이며 무한히 재시도하게 됩니다. 이 과정에서 마운트 작업이 영원히 진행되지 않아 커널 스레드가 블로킹되고 시스템 전체에 DoS 가 발생합니다.

악용 가능성: 이 취약점은 AV:L(Local) · AC:L(Low Complexity) · PR:L(Low Privileges) · UI:N(No User Interaction)이라는 CVSS 벡터에 따라, 로컬 시스템에 접근 가능한 사용자가 특별한 권한 없이도 악의적인 NTFS 이미지만 마운트하면 공격을 실행할 수 있음을 의미합니다. 실제 공격 조건은 ntfs3 파일시스템 드라이버가 mount 혹은 loopback 장치를 통해 제공되는 NTFS 볼륨을 읽어들일 때, ATTR_LIST 속성의 data_size가 0으로 설정된 손상된 이미지만 준비하면 됩니다. 공격 표면은 커널 레벨에서 노출되는 마운트 엔드포인트(예: mount /dev/sdx1 /mnt/ntfs)와 해당 시스템 콜에 전달되는 파일 경로 파라미터이며, 네트워크나 외부 서비스와는 직접 연결되지 않습니다. EPSS가 0.00121이라는 수치는 현재까지 보고된 실제 악용 사례는 매우 적지만, 완전히 무시할 수준은 아니며 *“관찰된 위협 가능성”*을 반영합니다. KEV에 등재되지 않은 이유는 아직 대규모 공격이나 광범위한 채택이 없기 때문이며, 이는 이론적 심각도와 실제 위험 사이의 차이를 설명합니다. 따라서 로컬 사용자가 악성 NTFS 이미지를 마운트할 수 있는 환경이라면, 난이도는 낮고 DoS 가능성이 현실적으로 존재합니다.

• 마운트 시도 중인 워크로드(예: 파일 서버, 컨테이너 이미지 로드)에서 해당 NTFS 파티션을 인식하지 못하고 시스템이 응답 정지 상태에 빠집니다.
• 서비스 전체가 영향을 받아 가용성이 0% 로 떨어질 수 있으며, 재부팅 없이는 복구가 어려울 수 있습니다.
• 데이터 손실은 발생하지 않지만, 서비스 중단으로 인한 비즈니스 영향이 큽니다.

• 동일 파일 시스템 드라이버에서 메모리 할당 전 검증 누락에 의한 무한 루프(예: 과거 ext4‑related DoS)와 유사한 패턴을 가집니다.
• 악성 NTFS 이미지를 제공하는 초기 침투 단계(예: USB 공급, 이미지 배포)와 결합될 경우 사전 권한 상승 없이도 서비스 거부를 달성할 수 있습니다.

• 로그 지표

  • dmesg / kernel.log : “ntfs3: failed to load ATTR_LIST” 혹은 “mount: ntfs3: infinite loop detected” 와 같은 오류 메시지가 반복적으로 기록됩니다.
  • systemd-journald 의 _COMM=mount 필드에 “NTFS” 문자열이 포함된 마운트 시도 후 일정 시간 내에 동일 프로세스가 재시작되는 패턴을 관찰합니다.

• SIEM 쿼리 예시 (예: Elastic Security, Splunk)

  • source:"kernel" AND message:"ntfs3.*ATTR_LIST" AND NOT message:"EINVAL" → 무한 루프 의심 이벤트.
  • index=system sourcetype=syslog "mount" AND "NTFS" | transaction startswith="mount.*NTFS" endswith="failed|timeout" maxspan=30s → 짧은 시간 내 반복 실패 탐지.

• 정규식

  • ntfs3: (failed to load ATTR_LIST|infinite loop detected)

• 오탐 튜닝

  • 정상적인 NTFS 마운트가 “ATTR_LIST loaded” 로 기록될 경우, 메시지에 “failed” 혹은 “loop” 키워드가 포함된 경우만 경보로 전환합니다.
  • 시스템 부팅 시 초기 스캔 단계에서 발생하는 일회성 오류는 event_count > 3 within 60s 조건으로 필터링합니다.

• 즉시(긴급 차단) :

  • modprobe.blacklist=ntfs3 옵션을 커널 부팅 파라미터에 추가하거나 /etc/modprobe.d/blacklist.conf 에 blacklist ntfs3 를 삽입하여 NTFS3 모듈 로드를 차단합니다. 이렇게 하면 해당 취약점이 포함된 드라이버가 로드되지 않아 무한 루프가 발생하지 않습니다.

• 단기(완화) :

  • 마운트 옵션에 noload 를 지정해 NTFS 파티션을 읽기 전용으로 마운트하고, 필요 시 ntfs3 대신 사용자 공간 도구(ntfs-3g)를 사용합니다.
  • 시스템 감시 스크립트를 배포하여 /proc/mounts 에서 “ntfs3” 가 나타날 경우 자동 알림을 전송하도록 합니다.

• 근본(해결) :

  • 공식 패치를 포함한 커널 버전으로 업데이트합니다. 영향을 받는 릴리즈는 5.15.202, 6.1.165, 6.6.128, 6.12.75, 6.18.16, 6.19.6 이상이며, 최신 LTS(예: 6.8) 로 업그레이드하는 것이 권장됩니다.
  • 패치 적용 후 ntfs_load_attr_list() 가 EINVAL 를 반환하는지 확인하기 위해 테스트 NTFS 이미지(ATTR_LIST size=0) 로 마운트를 시도하고, 기대되는 오류 코드가 로그에 기록되는지를 검증합니다.

• 구현 난이도·운영 영향

  • 즉시 차단: ★☆☆ (modprobe 블랙리스트만 수정하면 되며 서비스 중단 없이 적용 가능).
  • 단기 완화: ★★☆ (마운트 옵션 변경 및 감시 스크립트 배포가 필요하지만, 기존 워크로드에 큰 영향 없음).
  • 근본 해결: ★★★ (커널 업그레이드 작업이 필요하고 재부팅을 동반하므로 가용성 계획이 요구됨).

• 검증 방법

  • 차단/완화 적용 후 dmesg 에 “invalid ATTR_LIST size” 와 같은 메시지가 나타나는지 확인합니다.
  • 정상적인 NTFS 마운트가 성공하고, 악의적인 이미지에 대해선 즉시 오류가 반환되는지를 테스트 스위트로 자동 검증합니다.

• 잔여 리스크

  • ntfs3 모듈을 비활성화한 경우, 시스템에서 NTFS 파일 시스템을 사용할 수 없게 되므로 대체 도구 사용이 필요합니다.
  • 패치 적용 전까지는 악의적인 NTFS 이미지가 존재할 경우 서비스 거부 위험이 남아 있으니, 위 즉시 차단 조치를 반드시 수행하십시오.

• 인시던트 대응 플레이북

  1. dmesg | grep ntfs3 로 무한 루프 관련 로그 확인 → 경보 발생 여부 판단.
  2. 해당 호스트에서 lsmod | grep ntfs3 로 모듈 로드 상태 점검, 로드돼 있으면 즉시 차단 적용.
  3. 마운트 실패 시점의 프로세스(ps -ef | grep mount) 와 관련 파일 시스템 정보를 수집.
  4. 악성 NTFS 이미지가 내부에 존재하는지 확인 후 격리.
  5. 패치 또는 커널 업그레이드 일정 수립 및 적용 후 재검증.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00121 · exploit=hard · in_scope=None