[방어] 분석 — CVE-2025-21780

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

1. 트리거 조건: drm/amdgpu 드라이버의 smu_sys_set_pp_table() 함수에서 발생. 사용자가 sysfs를 통해 작은 크기의 pptable을 먼저 제공한 뒤, 이어서 더 큰 크기의 pptable을 제공할 때 경계 검사 미흡으로 인한 Buffer Overflow가 유발됨.
2. 공격 단계:
   • 초기 접근: 공격자가 이미 시스템에 로그인한 상태(Local User)여야 함. (전제조건: Low Privilege 권한 보유)
   • 실행/권한 획득: sysfs 엔드포인트에 비정상적인 크기의 데이터를 순차적으로 기록하여 커널 메모리 영역을 오염시키고, 실행 흐름을 제어하여 권한 상승(Privilege Escalation) 시도. (관측 지표: amdgpu 관련 커널 패닉 또는 비정상적 프로세스 권한 변경)
   • 영향: 커널 모드에서의 임의 코드 실행 및 Root 권한 획득.
3. 공격 표면: Linux Kernel의 sysfs 인터페이스 중 amdgpu 드라이버와 관련된 pptable 설정 경로.
4. CVSS 벡터 연결:
   • AV:L: 로컬 접근 필요 (네트워크를 통한 직접 공격 불가).
   • PR:L: 일반 사용자 권한이 필요함.
   • UI:N: 사용자 상호작용 없이 실행 가능.

악용 가능성: 본 취약점은 AV:L 및 PR:L 조건으로 인해 공격자가 이미 시스템에 로그인하여 낮은 권한의 사용자 계정을 확보한 상태여야 하므로 공격 난이도는 Hard로 판정됩니다. 공격 표면은 Linux 커널 내 amdgpu 드라이버의 sysfs 인터페이스이며, 특히 smu_sys_set_pp_table() 함수가 처리하는 pptable 파라미터를 통해 트리거됩니다. 공격자는 작은 크기의 pptable을 먼저 전달한 뒤 더 큰 데이터를 순차적으로 입력하여 버퍼 오버플로우를 유도함으로써 권한 상승(LPE)을 시도할 수 있습니다. EPSS 수치가 0.00258로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서 활발하게 악용되는 사례가 드물다는 것을 의미합니다. 하지만 커널 레벨의 메모리 오염 취약점이라는 특성상, 내부 침투 후 권한 상승을 노리는 지능형 공격자에게는 매력적인 타겟이 될 수 있습니다. 결과적으로 외부망 직접 노출 위험은 없으나, 다중 사용자 환경(Multi-tenant)이나 공유 서버에서 로컬 사용자에 의한 커널 패닉 및 권한 탈취 가능성이 상존합니다.

1. 기술적 위험: 커널 메모리 오염(Memory Corruption)을 통해 시스템 전체의 제어권을 획득하는 Local Privilege Escalation (LPE) 위험이 있음. 성공 시 공격자는 Root 권한으로 시스템 내 모든 데이터에 접근하거나 커널 패닉을 유발해 시스템을 중단시킬 수 있음.
2. 비즈니스 영향: AMD GPU가 탑재된 리눅스 서버/워크스테이션의 기밀성 및 무결성이 파괴됨. 특히 멀티테넌트 환경(공유 서버)에서 일반 사용자가 관리자 권한을 획득할 경우 전체 인프라 보안이 무너짐.

• 추정: Memory-Corruption 유형의 특성상, 단독으로 사용되기보다 커널 주소 공간 배치 난독화(KASLR)를 우회하기 위한 '커널 정보 유출(Kernel Information Leak)' 취약점과 체이닝되어 공격 성공률을 높이는 패턴으로 활용될 가능성이 큼.

1. 로그 지표: sysfs는 표준 로그에 모든 쓰기 작업을 남기지 않음. 따라서 커널 로그(dmesg, /var/log/kern.log)에서 amdgpu 관련 Segmentation Fault, General Protection Fault 또는 smu_sys_set_pp_table 함수 호출 중 발생하는 덤프 확인 필요.
2. 탐지 규칙:
   • 로직: 특정 사용자 권한으로 /sys/class/drm/cardX/device/pptable (추정 경로)에 빈번하거나 비정상적인 크기의 쓰기 작업이 발생하는지 모니터링.
   • SIEM 의사코드:
     SELECT timestamp, user, process FROM audit_logs WHERE target_path LIKE '/sys/class/drm/card*/device/pptable' AND action = 'write' GROUP BY user HAVING count(*) > threshold
   • 정규식 (커널 로그 탐지): /(amdgpu).*?(buffer overflow|stack-protector|general protection fault)/i
3. 오탐 튜닝: GPU 오버클러킹 도구나 전력 관리 유틸리티(예: CoreCtrl 등)가 정당하게 pptable을 수정하는 경우 오탐이 발생할 수 있음. 승인된 관리자 계정 및 특정 신뢰 프로세스 목록(Allowlist)을 적용하여 필터링함.

• 즉시 (긴급 차단):

  • 조치: sysfs 내 pptable 관련 노드에 대한 쓰기 권한을 Root로 엄격히 제한하거나, 필요 없는 경우 해당 인터페이스 접근을 ACL/SELinux/AppArmor를 통해 차단.
  • 난이도/영향: 낮음 / GPU 전력 설정 변경 도구 사용 불가.
  • 검증: 일반 사용자 계정으로 echo "data" > /sys/.../pptable 실행 시 Permission denied 확인.
  • 우선순위: 최우선 (오늘 당장 적용 가능).

• 단기 (완화):

  • 조치: 불필요한 AMD GPU 드라이버 모듈 로드 제한 또는 사용하지 않는 서버의 경우 모듈 블랙리스트 처리.
  • 난이도/영향: 중간 / GPU 가속 기능 상실.
  • 검증: lsmod | grep amdgpu 명령어로 모듈 로드 여부 확인.
  • 우선순위: 중간.

• 근본 (해결):

  • 조치: 영향 받는 커널 버전(6.1.129 미만, 6.26.6.79, 6.76.12.16, 6.13~6.13.4)에서 패치된 최신 커널로 업데이트.
  • 난이도/영향: 높음 / 시스템 재부팅 필요 및 하드웨어 호환성 테스트 필요.
  • 검증: uname -r을 통해 패치 버전 적용 여부 확인.
  • 우선순위: 이번 주 내 실행 (Scheduled).

[파이프라인 근거] 본 분석은 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00258) 및 CVSS(7.8)를 기반으로 우선순위를 결정함. 특히 EPSS 수치가 낮고 악용 난이도가 hard로 평가되어 즉각적인 대규모 확산 가능성은 낮으나, 로컬 권한 상승이라는 치명적 영향을 고려하여 'Scheduled' 단계의 대응 전략을 수립함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None