[공격] 분석 — CVE-2025-68787

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• 트리거 조건

  • netrom 모듈이 로드된 상태이어야 함.
  • 프로세스가 AF_NETROM 소켓을 생성하고 sendmsg() 를 호출할 수 있어야 함(일반적으로 CAP_NET_RAW 혹은 루트 권한 필요).
  • 내부에서 sock_alloc_send_skb() 가 메모리 할당에 실패(NULL 반환)하면, 기존에 nr_sendmsg() 에서 할당된 skb 가 해제되지 않아 누수가 발생함.

• 공격 흐름

  1. 정찰 – 시스템에 netrom 모듈이 로드돼 있는지 확인(lsmod | grep netrom).
  2. 초기 접근 – 권한을 가진 계정(또는 SELinux/AppArmor 정책 회피)으로 AF_NETROM 소켓을 열고 작은 메시지를 전송.
  3. 실행·권한 획득 – 메모리 압박을 인위적으로 유도(예: 대용량 파일 매핑, 연속적인 malloc/mmap)하여 커널의 sock_alloc_send_skb() 가 NULL 반환하도록 만든 뒤, 반복 호출로 누수를 지속.
  4. 지속 – 프로세스가 계속해서 메시지를 전송하면 커널 슬랩(kmalloc‑256, skb_head_cache 등) 사용량이 선형적으로 증가해 결국 OOM 상태에 도달.
  5. 영향 – 커널 메모리 고갈 → 시스템 전체 DoS, 최악의 경우 OOM 킬러가 핵심 프로세스를 종료시켜 서비스 마비를 초래함.

• 공격 표면

  • 엔드포인트: 로컬/컨테이너 환경에서 netrom 모듈이 활성화된 커널.
  • 파라미터·프로토콜: AF_NETROM 소켓, sendmsg() 호출 시 전달되는 struct msghdr.

• CVSS‑유사 벡터(실제 조건에 매핑)

  • AV = L (로컬) / AC = H (특권 필요) / PR = H (루트/특권) / UI = N.

악용 가능성: 해당 취약점은 nr_sendmsg()에서 sock_alloc_send_skb()가 NULL을 반환했을 때 기존 skb를 해제하지 않아 메모리 누수가 발생하는 Denial‑of‑Service 문제로, CVSS AV는 실제 공격이 네트워크 경로를 통해 이루어지기 어려워 Local 로 매핑되고, AC는 메모리 할당 실패를 유도하려면 특수한 입력·부하 조건을 만족해야 하므로 High, PR은 netrom 소켓을 열 수 있는 권한(보통 CAP_NET_RAW 또는 root)이 필요해 Low/None, UI는 사용자 상호작용이 없으므로 None으로 평가됩니다. EPSS 값 0.00177은 실제 악용 가능성이 매우 낮다는 통계적 근거를 제공하며, KEV에 등재되지 않은 점도 현재까지 실전 공격 사례가 보고되지 않았음을 의미합니다. 공격 표면은 커널의 AF_NETROM 소켓 인터페이스와 nr_sendmsg() 함수이며, 이를 호출할 수 있는 프로세스는 해당 프로토콜 스택이 로드된 시스템에서만 존재합니다. 따라서 원격 네트워크를 통한 직접 이용은 거의 불가능하고, 공격자는 먼저 로컬 권한을 확보하거나 netrom 서비스를 외부에 노출시킨 특수 환경에 진입해야 합니다. 이후 대량의 메시지를 전송해 메모리 할당이 실패하도록 강제하면 커널 메모리가 점진적으로 고갈되어 서비스가 마비되는 DoS 효과를 얻을 수 있습니다. 이러한 조건들(로컬 권한

• DoS: 커널 메모리 누수는 슬랩 풀을 고갈시켜 전체 시스템이 응답하지 않게 함.
• 간접 위험: 메모리 압박 상태에서 다른 커널 취약점(예: slab‑overflow)과 결합될 경우, 메모리 레이아웃 조작을 통한 권한 상승 가능성이 이론적으로 존재함(현재 확인된 실증 사례는 없음).

• 유형: CWE‑401 (메모리 누수) → 시스템 자원 고갈 → 서비스 거부.
• 가능한 체인 패턴
  • 메모리 누수 → OOM 유발 → 커널 OOM 킬러가 중요한 프로세스를 종료 → 특권이 낮은 계정으로 남아 있는 서비스에 대한 추가 공격(예: 권한 상승 취약점 이용).
• 추정: 현재 알려진 다른 CVE와 직접적인 연계는 확인되지 않았으나, 동일 커널 버전에서 보고된 슬랩‑오버플로우 취약점과 결합될 경우 LPE 시나리오가 형성될 수 있음.

• dmesg/syslog에 “BUG: memory leak” 와 함께 unreferenced object 로그가 반복적으로 기록됨.
• /proc/slabinfo에서 skb_head_cache·kmalloc‑256 등 해당 슬랩 풀의 사용량이 비정상적으로 급증.
• kmemleak 서브시스템(cat /sys/kernel/debug/kmemleak)에 누수된 객체(예: size 240) 보고가 나타남.
• netrom 모듈 로드 상태 (lsmod)와 AF_NETROM 소켓 생성 시도(ss -a | grep netrom)를 실시간으로 감시.

• 패치 적용: 커널 5.x 이후 최신 버전(또는 배포판에서 제공하는 보안 업데이트)으로 교체하여 nr_sendmsg() 수정 사항을 포함시키십시오.
• 모듈 비활성화: netrom 모듈이 필요 없으면 즉시 언로드(modprobe -r netrom)하고 /etc/modprobe.d/blacklist.conf에 blacklist netrom 추가.
• 권한 제한: SELinux/AppArmor 정책에서 AF_NETROM 소켓 생성 권한을 차단하거나, 비특권 사용자에게 CAP_NET_RAW를 부여하지 않도록 설정.
• 모니터링: 위 탐지 항목을 자동화된 로그 수집·알림 체계에 포함하고, 슬랩 사용량 급증 시 경보를 발생시키도록 구성하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None