[공격] 분석 — CVE-2025-37785

• 심각도 high · CVSS 7.1 · EPSS 0.00258 · 악용난이도 hard

(1) 트리거 조건

• ext4 파일시스템의 디렉토리 엔트리 중 . (current directory) 항목의 rec_len 값을 데이터 블록 크기(정확히 4KB)로 조작한 이미지 생성.
• ext4_empty_dir() 함수가 . 항목을 검증한 후, rec_len을 기반으로 .. (parent directory) 항목의 위치를 계산할 때, 포인터가 할당된 데이터 블록 경계를 벗어나게 됨.
• 이후 ext4_check_dir_entry()가 해당 OOB 포인터를 역참조하며 취약점이 트리거됨.

(2) 공격 단계

• 정찰: 타겟 시스템의 커널 버전 및 ext4 파일시스템 사용 여부 확인.
• 초기 접근: 공격자가 조작된 디렉토리 구조를 가진 파일시스템 이미지(ISO, VHD, USB 등)를 생성하여 타겟에 전달.
• 실행/권한 획득:
  • 전제: 사용자가 해당 이미지를 마운트하거나, 시스템이 자동 마운트하도록 유도해야 함.
  • 지표: 조작된 디렉토리를 삭제(remove)하는 시점에 커널 패닉(Kernel Panic) 또는 OOB Read 발생.
• 영향: 메모리 내 민감 정보 유출 또는 커널 크래시로 인한 서비스 거부(DoS).

(3) 공격 표면

• 엔드포인트/함수: ext4_empty_dir(), ext4_check_dir_entry(), ext4_next_entry().
• 파라미터: 파일시스템 이미지 내 struct ext4_dir_entry_2 구조체의 rec_len 필드.

(4) CVSS 벡터 분석 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H)

• AV:L: 로컬 접근 필요. 물리적 매체 삽입이나 파일 업로드 후 마운트 권한이 필요함.
• AC:L: 조건(rec_len=4KB) 충족 시 트리거가 매우 단순함.
• PR:L: 일반 사용자 권한으로도 마운트 가능한 환경(예: FUSE, 특정 설정의 자동 마운트)에서 가능.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터가 가리키듯, 공격자가 이미 시스템에 낮은 권한으로 접근하여 로컬 파일시스템에 영향을 줄 수 있는 상태여야 하므로 초기 진입 장벽이 높습니다. 공격 표면은 Linux 커널의 ext4 파일시스템 드라이버이며, 구체적으로는 손상된(corrupted) 디렉토리 구조를 가진 이미지나 파티션을 마운트하여 ext4_empty_dir() 및 ext4_next_entry() 함수를 트리거하는 지점에 형성됩니다. 특히 . 엔트리의 rec_len 값을 블록 사이즈(4KB)로 정밀하게 조작한 특수 제작된 파일시스템이 전제되어야 하므로, 일반적인 런타임 환경보다는 물리 매체나 가상 디스크 이미지를 통해 유도하는 시나리오가 핵심입니다. EPSS 수치가 0.00258로 매우 낮고 KEV에 등재되지 않은 점은, 이론적 OOB Read 위험에도 불구하고 실제 야생(In-the-wild)에서 즉각적인 RCE나 권한 상승으로 이어지는 안정적인 익스플로잇 체인이 보편화되지 않았음을 의미합니다. 결과적으로 AC:L임에도 불구하고 '손상된 파일시스템 마운트'라는 특수한 트리거 조건과 로컬 접근 권한의 필요성 때문에 실제 악용 가능성은 낮으며, 공격 난이도는 hard로 판정됩니다.

(1) 기술적 위험

• 서비스 중단 (DoS): 잘못된 메모리 참조로 인한 커널 패닉 및 시스템 리부팅 유발.
• 정보 유출: OOB Read를 통해 커널 메모리 영역의 데이터가 사용자 공간으로 노출될 가능성 존재(C:H).

(2) 비즈니스 영향

• 가용성 저하: 서버나 워크스테이션의 갑작스러운 다운타임 발생.
• 신뢰도 하락: 외부 저장 매체 마운트만으로 시스템이 붕괴될 수 있다는 보안 취약점 노출.

• 메모리 누수 $\rightarrow$ KASLR 우회: 추정: OOB Read를 통해 커널 주소 공간의 포인터를 획득할 경우, KASLR(Kernel Address Space Layout Randomization)을 무력화하는 정보 유출 단계로 활용 가능.
• KASLR 우회 $\rightarrow$ 권한 상승 (LPE): 추정: KASLR 우회 후 다른 Memory-Corruption 취약점과 체이닝하여 커널 권한(Ring 0)을 획득하는 권한 상승 공격의 전단계로 사용될 수 있음.

(1) 로그 지표

• dmesg 또는 /var/log/syslog 내 General Protection Fault, Kernel panic - not syncing, Unable to handle kernel paging request와 함께 ext4 관련 함수 스택 트레이스 확인.

(2) 탐지 규칙 예시 (의사코드)

• Rule 1 (Kdump/Panic): IF event == "kernel_panic" AND stack_trace CONTAINS ("ext4_empty_dir" OR "ext4_check_dir_entry") THEN ALERT
• Rule 2 (Abnormal Mount): IF process == "mount" AND source_device == "removable_media" AND filesystem_type == "ext4" THEN LOG_EVENT

(3) 오탐 시나리오 및 튜닝

• 단순한 디스크 물리 손상으로 인한 커널 에러와 구분이 어려움. 특정 함수(ext4_empty_dir)의 호출 스택이 명확히 포함된 경우만 정밀 분석 대상으로 분류하여 튜닝.

• 즉시 (긴급 차단): 신뢰할 수 없는 외부 저장 장치(USB, 외장 하드) 및 ISO 이미지의 마운트를 엄격히 금지하는 정책 적용. (난이도: 하 / 영향: 사용자 편의성 저하)
• 단기 (완화): nosuid, nodev, noexec 옵션을 사용하여 마운트 제한을 걸거나, 커널 파라미터를 통해 비정상적인 파일시스템 동작 시 시스템 정지를 방지하는 설정 검토. (난이도: 중 / 영향: 성능 영향 없음)
• 근본 (해결): 영향을 받는 커널 버전(2.6.19 ~ 6.14.2 범위 내 각 브랜치 최신 패치 버전)으로 업데이트. __ext4_check_dir_entry() 함수에서 . 엔트리가 블록 끝에 도달하는지 검사하는 로직이 포함된 패치 적용 필수. (난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단)

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 0.00258(백분위 0.17465) 및 AV:L/PR:L 조건을 근거로 실제 악용 난이도를 'hard'로 평가하였습니다. 이에 따라 즉시 대응보다는 이번 주 내 패치를 권고하는 'scheduled' 우선순위가 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.1 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None