[분석가] 분석 — CVE-2026-31396

• 심각도 high · CVSS 7.8 · EPSS 0.00122 · 악용난이도 hard

본 취약점은 macb 네트워크 드라이버의 PTP(Precision Time Protocol) 클록 관리 로직에서 발생하는 Memory-Corruption (Use-After-Free)입니다.

1. 촉발 경로: 인터페이스가 커널에 존재하지만 닫힌 상태(closed)일 때, ethtool 호출을 통해 get_ts_info 함수가 실행됩니다.
2. 작동 원리: PTP 클록은 인터페이스 오픈 시 등록되고 종료 시 파괴되는데, 종료 후 파괴된 메모리 영역에 ptp_clock_index 등이 접근하며 UAF가 발생합니다.
3. 결과: 추정: 공격자는 이를 통해 커널 메모리를 오염시키거나 임의 코드를 실행하여 권한을 상승시킬 수 있으며, 최악의 경우 커널 패닉으로 인한 시스템 중단이 유발됩니다.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터에 따라 공격자가 대상 시스템에 이미 낮은 권한의 계정으로 접속해 있어야 하는 전제조건을 가집니다. 공격 표면은 Linux 커널의 macb 드라이버 내 PTP clock 인터페이스이며, 구체적으로는 네트워크 인터페이스가 존재하는 상태에서 호출 가능한 ethtool의 get_ts_info 호출 경로를 통해 트리거됩니다. 인터페이스의 개폐 과정에서 발생하는 Use-After-Free(UAF) 특성상 정밀한 타이밍 제어가 필요하므로 공격 난이도는 hard로 판정됩니다. 실제 악용 가능성은 EPSS 수치가 0.00122로 매우 낮고 KEV에 등재되지 않은 점으로 보아, 이론적 심각성과 달리 야생에서의 능동적인 공격 사례는 미관측된 상태입니다. 따라서 본 취약점은 원격 공격보다는 로컬 권한 상승(LPE)이나 커널 패닉을 통한 서비스 거부(DoS)를 목적으로 하는 정교한 내부 공격 시나리오에서 제한적으로 악용될 가능성이 높습니다.

• 영향 제품 및 규모: Linux kernel 4.11부터 6.19.10까지 광범위한 버전(총 8개 이상의 메이저/마이너 범위)에 걸쳐 영향이 미칩니다. 공급망 특성상 다수의 배포판과 임베디드 시스템에 적용되어 있어 노출 규모가 매우 넓습니다.
• 기술적 위험: CVSS 7.8(High) 및 벡터 AV:L/PR:L에 따라, 시스템에 낮은 권한으로 접근 가능한 로컬 사용자가 공격을 수행할 수 있습니다. 성공 시 커널 권한 획득을 통한 완전한 시스템 장악 또는 데이터 무단 수정/유출이 가능합니다.
• 비즈니스 리스크:
  • 가용성: 커널 패닉으로 인한 서비스 중단(DoS) 위험이 존재합니다.
  • 신뢰성: 인프라 핵심 계층인 커널 취약점으로, 시스템 무결성이 파괴될 경우 운영 환경의 신뢰도가 상실됩니다.

Memory-Corruption 유형의 특성상, 다른 커널 메모리 누수(Leak) 취약점과 체이닝될 경우 KASLR 우회 및 익스플로잇 성공률을 높이는 경로로 활용될 가능성이 있습니다.

• 커널 로그: KASAN: use-after-free in ptp_clock_index와 같은 에러 메시지가 dmesg 또는 시스템 로그에 기록되는지 확인합니다.
• 행위 패턴: 권한이 낮은 사용자가 비정상적으로 빈번하게 ethtool을 사용하여 네트워크 인터페이스의 타임스탬프 정보(get_ts_info)를 요청하는 행위를 모니터링합니다.

• 근본 해결: 영향 범위에 포함된 Linux kernel 버전을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
• 즉시 조치:
  • 불필요한 네트워크 인터페이스의 ethtool 접근 권한을 제한합니다.
  • 취약한 드라이버(macb)를 사용하지 않는 환경인지 확인하고, 사용 중이라면 해당 모듈의 로드를 최소화합니다.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석되었습니다.
• 실측 악용예측: EPSS 수치가 0.00122(백분위 0.02377)로 낮고 PoC가 미상이며, 공격 난이도가 hard로 평가되어 실제 야생에서의 즉각적인 악용 가능성은 낮은 것으로 판단됩니다.
• 우선순위 결정: CVSS 점수(7.8)는 높으나 KEV 미등재 및 낮은 EPSS 수치를 근거로 'scheduled(이번 주 내)' 대응 수준으로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00122 · exploit=hard · in_scope=None