[공격] 분석 — CVE-2026-22994

• 심각도 medium · CVSS 5.5 · EPSS 0.00119 · 악용난이도 hard

본 취약점은 Linux 커널의 BPF(Berkeley Packet Filter) 서브시스템 내에서 발생하는 Reference Count Leak이다. 특정 조건에서 메모리 참조 횟수가 증가만 하고 감소하지 않아 리소스가 영구적으로 점유되는 결함이다.

• 공격 표면 및 트리거:
  • 엔드포인트/함수: bpf_prog_test_run_xdp() 함수 내의 에러 핸들링 경로.
  • 트리거 조건: BPF_PROG_TEST_RUN 명령을 통해 XDP 프로그램을 테스트할 때, xdp_convert_md_to_buff()에서 참조 횟수가 증가하지만, 이후 발생한 에러 경로에서 xdp_convert_buff_to_md()가 호출되지 않아 refcount가 누수됨.
• 공격 체인 및 전제 조건:
  1. 초기 접근 (Local Access): 공격자는 이미 시스템에 로그인한 상태여야 함 (AV:L).
  2. 권한 획득/조건 (Privilege): BPF 프로그램 실행 및 테스트 권한이 필요함 (PR:L). unprivileged_bpf_disabled 설정이 0인 경우 일반 사용자도 접근 가능하나, 최신 배포판은 기본적으로 제한됨.
  3. 실행 (Resource Exhaustion): BPF_PROG_TEST_RUN을 반복적으로 호출하여 의도적으로 에러 경로를 유도 $\rightarrow$ 커널 내 네트워크 디바이스(예: sit0)의 usage count가 지속적으로 증가.
  4. 영향 (DoS): 참조 횟수가 누적되어 디바이스가 'free' 상태가 되지 않음 $\rightarrow$ unregister_netdevice 대기 상태 발생 및 시스템 불안정/행(Hang) 유발.
• CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H는 로컬 권한을 가진 사용자가 낮은 복잡도로 가용성(Availability)에 치명적인 영향을 줄 수 있음을 의미한다.

악용 가능성: 본 취약점은 AV:L 및 PR:L 조건에 따라 로컬 권한을 가진 사용자가 커널 내부의 BPF(Berkeley Packet Filter) 서브시스템에 접근할 수 있는 환경에서만 트리거됩니다. 공격 표면은 bpf_prog_test_run_xdp() 함수와 연결된 BPF 시스템 콜 엔드포인트이며, 특히 XDP 컨텍스트를 처리하는 과정에서 발생하는 Reference Count Leak이 핵심입니다. EPSS 수치가 0.00119로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 결함만으로 즉각적인 RCE나 LPE를 달성한 공개 사례가 드물며, 공격 난이도가 hard임을 뒷받침합니다. 하지만 실전 관점에서 Refcount Leak은 단순한 메모리 누수를 넘어, 특정 커널 객체가 해제되지 않고 유지되게 함으로써 Use-After-Free(UAF)나 Race Condition을 유도하는 정교한 Heap Spraying의 전제 조건으로 악용될 수 있습니다. 따라서 단독으로는 영향력이 제한적이나, 다른 메모리 오염 취약점과 체이닝될 경우 커널 권한 상승을 위한 결정적인 징검다리 역할을 할 가능성이 존재합니다.

• 가용성 침해 (DoS): 커널 리소스(refcount) 누수로 인해 네트워크 인터페이스 해제 불가 및 커널 패닉 또는 시스템 정지 유발.
• 영향 범위: 다중 소스 교차검증 결과 5.18부터 6.18.6까지 광범위한 커널 버전이 영향권에 있어 공급망 관점의 리스크가 매우 높음.

본 취약점 단독으로는 데이터 유출이나 권한 상승(LPE)으로 이어지지 않으나, 다음과 같은 체이닝 가능성이 존재한다.

• 추정: DoS $\rightarrow$ Race Condition: 리소스 누수로 인해 커널의 특정 프로세스가 unregister_netdevice 등에서 무한 대기하거나 지연될 때, 이를 이용해 다른 레이스 컨디션(Race Condition) 취약점을 트리거할 시간을 벌 수 있음.
• 추정: Memory Pressure $\rightarrow$ Slab Out-of-Memory: 지속적인 refcount leak이 메모리 압박으로 이어질 경우, 커널의 OOM Killer가 중요한 프로세스를 종료하게 만들어 시스템 보안 메커니즘을 무력화하는 경로로 활용될 수 있음.
• 패턴 분석: Reference Count Leak $\rightarrow$ Resource Exhaustion $\rightarrow$ System Instability.

• 커널 로그 모니터링: dmesg 또는 /var/log/kern.log에서 unregister_netdevice: waiting for ... to become free. Usage count = X 패턴의 메시지 탐지.
• 시스템 콜 추적: strace 등을 통해 일반 사용자가 비정상적으로 많은 횟수의 bpf() 시스템 콜(특히 BPF_PROG_TEST_RUN)을 호출하는지 감시.

• 즉시 조치: sysctl -w kernel.unprivileged_bpf_disabled=1 설정을 통해 권한 없는 사용자의 BPF 접근을 완전히 차단하여 공격 표면 제거.
• 근본 해결: 영향받는 커널 버전(5.18 ~ 6.18.6 등)에서 해당 패치가 적용된 최신 안정 버전으로 커널 업데이트 수행.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인했으며, 실측 EPSS(0.00119) 및 CVSS 5.5를 기반으로 우선순위를 monitor로 결정했다. EPSS 수치가 매우 낮고 KEV에 등재되지 않았으며, 공격 난이도가 'hard'인 점을 고려할 때 즉각적인 대규모 악용 가능성은 낮으나 영향 범위가 넓어 지속적 모니터링이 필요하다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00119 · exploit=hard · in_scope=None