[분석가] 분석 — CVE-2024-26783

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

NUMA balancing이 활성화된 상태에서 메모리를 할당하려는 로컬 프로세스가, 로컬 메모리가 없는 NUMA 노드에 접근하면 커널 내부 wakeup_kswapd()가 잘못된 zone index ‑1을 사용해 호출됩니다. 이로 인해 페이지 폴트와 Oops가 발생하고 결국 커널 패닉(DoS)으로 이어집니다. 공격자는 특수한 메모리 할당 상황만 만들면 되므로 권한 요구는 낮지만 성공 조건이 제한적이며, 현재까지 실전 악용 사례는 보고되지 않았습니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 표시되므로, 공격자는 로컬 권한을 가지고 있어야 하며, 복잡도는 낮고(특정 메모리 할당 패턴만 발생하면) 사용자 개입 없이 자동으로 발동됩니다. 실제 exploitation 조건은 NUMA balancing이 활성화된 시스템에서 하나의 NUMA 노드가 관리 영역(zone)을 전혀 보유하지 않을 때, 커널 내부의 wakeup_kswapd() 가 잘못된 인덱스(‑1)로 호출되는 상황입니다. 따라서 공격 표면은 커널 메모리 관리 경로이며, 네트워크·API 엔드포인트와 같은 외부 인터페이스는 존재하지 않습니다. EPSS 값이 0.00242 로 매우 낮게 측정된 것은 현재까지 실제 악용 사례가 거의 관측되지 않았음을 의미합니다(위험도는 이론적 심각도와 별개로 실질적인 위협 가능성이 낮음). 또한 KEV 데이터베이스에 등재되지 않아, 공개적으로 확인된 악성코드나 공격 툴이 존재하지 않음을 보여줍니다. 종합하면, 로컬 접근 권한을 가진 공격자가 특수한 NUMA 구성을 갖춘 시스템에서만 발동 가능한 고난도(hard) 취약점이며, 일반적인 환경에서는 노출 가능성이 제한적입니다.

• 기술적 위험:
  • 커널 패닉 → 시스템 전체 재부팅 또는 비정상 종료, 서비스 중단(DoS).
  • 재부팅 과정에서 메모리 내 데이터 손실·복구 비용 발생 가능.
• 비즈니스 리스크:
  • 가용성 저하로 SLA 위반 및 고객 신뢰도 하락.
  • 고가용성/클러스터 환경에서는 재부팅 지연이 복구 시간(RTO)을 증가시켜 운영 비용 상승.
  • 금융·의료 등 가용성을 규제 요건으로 요구하는 산업에서는 서비스 중단 자체가 컴플라이언스 위반 위험이 됩니다.
• 영향 제품·노출 규모:
  • Linux kernel 5.18‑6.6.22 및 6.7‑6.7.9 버전(다중 배포판 포함) 모두 취약점이 존재합니다.
  • 다중 소스에서 일관된 데이터가 확인돼(교차검증) 영향 범위에 대한 신뢰도가 높습니다(신뢰도 1.0).
• 악용 가능성: EPSS = 0.00242(실제 악용 확률이 낮음)이며, exploit 난이도는 hard으로 평가됩니다. 따라서 현재 관측된 위협은 제한적입니다.

NUMA balancing 로직과 연관된 다른 메모리 관리 버그와 이론적으로 연계될 가능성이 있으나, 구체적인 CVE 번호가 확인되지 않아(추정) 현재까지 알려진 직접적인 체이닝 사례는 없습니다.

• dmesg·커널 로그에서 다음 문자열을 모니터링합니다.
  • BUG: unable to handle page fault for address:
  • wakeup_kswapd (./linux/mm/vmscan.c: 와 함께 zone index -1 표기.
  • Oops/Kernel panic 메시지와 RIP: wakeup_kswapd 스택 트레이스.
• SIEM·로그 수집 시스템에 위 패턴을 알림 규칙으로 등록해 발생 시 즉시 경보를 생성합니다.

1. 즉시: 공급업체가 제공한 최신 커널 패치를 적용하여 mm/vmscan.c의 검증 로직이 포함된 버전(5.18‑6.6.22, 6.7‑6.7.9)으로 업데이트합니다.
2. 패치 적용 지연 시: /proc/sys/kernel/numa_balancing 값을 0 으로 설정해 NUMA balancing을 비활성화합니다. 이 경우 CPU·메모리 사용 효율이 감소하고 SLA 위반 위험이 커질 수 있음을 운영 정책과 협의하여 적용 시점을 결정해야 합니다.
3. 운영 차원: 패치 적용 후 시스템 재부팅을 수행하고, 커널 크래시 로그 모니터링을 강화해 재발 여부를 확인합니다. 또한, 정기적인 커널 보안 업데이트 자동화 정책을 수립하여 공급망 위험을 최소화합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None