[분석가] 분석 — CVE-2025-21760

• 심각도 high · CVSS 7.8 · EPSS 0.095 · 악용난이도 moderate

1. 트리거 조건: ndisc_send_skb() 함수가 RTNL(Routing Table Netlink) 락이나 RCU(Read-Copy Update) 보호 없이 호출될 때 발생합니다. 이로 인해 dev_net_rcu() 사용 과정에서 참조하는 객체가 해제된 후 접근되는 Use-After-Free(UAF) 결함이 트리거됩니다.
2. 공격 단계:
   • 초기 접근: 공격자는 이미 시스템에 로그인한 상태여야 합니다 (PR:L).
   • 실행/권한 획득: 네트워크 인터페이스 설정 변경이나 특정 ndisc 패킷 전송을 유도하여 커널 내 메모리 오염(Memory Corruption)을 유발합니다.
   • 영향: 오염된 메모리를 통해 커널 패닉(DoS)을 일으키거나, 추정: 커널 권한으로 임의 코드를 실행하여 권한 상승을 시도합니다.
3. 공격 표면: Linux kernel의 ndisc 모듈 및 관련 네트워크 스택 인터페이스.
4. CVSS 벡터 연결:
   • AV:L (Local): 로컬 접근 권한이 필수적입니다.
   • AC:L (Low): 공격 조건이 단순하며 특별한 환경 설정이 필요하지 않습니다.
   • PR:L (Low): 낮은 수준의 사용자 권한만으로도 트리거 가능합니다.
   • UI:N (None): 사용자 상호작용 없이 실행됩니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:L 및 PR:L 벡터에 따라, 공격자가 대상 시스템에 이미 낮은 권한의 계정으로 접근하여 로컬 쉘을 확보한 상태여야 트리거가 가능합니다. 공격 표면은 Linux 커널 내 IPv6 Neighbor Discovery Protocol(NDP)을 처리하는 ndisc_send_skb() 함수이며, 특히 RTNL이나 RCU 락이 확보되지 않은 상태에서 네트워크 패킷 전송 로직이 호출되는 지점이 핵심 타겟입니다. 트리거 조건은 특정 타이밍에 dev_net_rcu()를 통해 네트워크 장치 참조 시 발생하는 Use-After-Free(UAF) 상황을 유도하는 것이며, 이는 정밀한 레이스 컨디션 제어가 필요하여 기술적 난이도가 존재합니다. 다만, AC:L 판정대로 복잡한 사전 조건 없이 로컬 권한만으로 실행 가능하므로 잠재적 위협은 상존합니다. EPSS 수치는 0.095로 비교적 낮고 KEV에 등재되지 않아 현재 야생에서의 대규모 악용 사례는 미관측되었으나, 커널 권한 상승(LPE)으로 이어질 수 있다는 점에서 이론적 심각도와 별개로 내부 위협 및 포스트 익스플로잇 단계의 위험성이 존재합니다. 따라서 외부 노출보다는 이미 침투한 공격자의 권한 확대 경로로 악용될 가능성에 주목해야 합니다.

1. 기술적 위험:
   • 시스템 가용성 중단: Memory Corruption으로 인한 커널 패닉 및 시스템 크래시(DoS).
   • 권한 상승: 추정: UAF를 정교하게 조작할 경우, 일반 사용자 권한에서 루트(root) 권한으로 상승할 가능성이 있습니다.
2. 비즈니스 영향:
   • 서비스 중단: 커널 크래시 발생 시 해당 서버에서 구동 중인 모든 서비스가 중단되어 가용성에 치명적입니다.
   • 데이터 무결성 위험: 권한 상승 성공 시 시스템 전체 제어권을 상실하여 내부 데이터 유출 및 변조 위험이 발생합니다.
   • 노출 규모: Linux 커널 2.6.26부터 최신 버전(6.13.4 등)까지 광범위한 제품군에 영향을 미치므로 잠재적 노출 범위가 매우 넓습니다.

• 유형 및 패턴: 본 취약점은 Memory-Corruption (CWE-416: Use-After-Free) 유형입니다.
• 추정 체이닝:
  • 정보 노출 $\rightarrow$ 권한 상승: 추정: 커널 메모리 주소를 알아낼 수 있는 다른 정보 유출 취약점과 결합할 경우, KASLR을 우회하여 UAF를 통한 코드 실행 성공률을 높이는 체이닝이 가능할 것으로 보입니다.

1. 로그 지표:
   • dmesg 또는 /var/log/syslog 내의 Kernel panic, General protection fault, Unable to handle kernel paging request 등의 메시지와 함께 ndisc_send_skb 함수 호출 스택이 포함된 덤프 확인.
2. 탐지 규칙 예시:
   • 로직: 시스템 로그에서 특정 커널 함수와 메모리 오류 패턴을 동시에 탐지.
   • 패턴(정규식): (?i)(kernel panic|segmentation fault).*ndisc_send_skb
   • SIEM 쿼리 예시: index=linux_logs message="*ndisc_send_skb*" AND (message="*panic*" OR message="*UAF*")
3. 오탐 시나리오 및 튜닝: 단순한 네트워크 드라이버 오류로 인한 크래시일 수 있습니다. 호출 스택(Call Stack)에서 ndisc_send_skb가 명확히 포함되었는지 확인하여 정밀도를 높여야 합니다.

• 즉시(긴급 차단):
  • 조치: 불필요한 일반 사용자의 네트워크 설정 변경 권한 제한 및 cap_net_admin 권한 부여 최소화.
  • 영향/검증: 운영 영향 낮음 / getcap 명령어로 프로세스 권한 확인.
• 단기(완화):
  • 조치: 침입 탐지 시스템(IDS) 및 EDR을 통해 비정상적인 커널 메모리 접근 패턴 모니터링 강화.
  • 영향/검증: 성능 영향 미미 / 탐지 룰 적용 후 테스트 패킷 전송 시 알람 발생 확인.
• 근본(해결):
  • 조치: 영향받는 커널 버전에 맞는 최신 보안 패치가 적용된 버전으로 업그레이드 (예: ndisc_send_skb() 내 rcu_read_lock() 조기 획득 수정본 적용).
  • 영향/검증: 시스템 재부팅 필요(가용성 일시 중단) / uname -r로 업데이트된 커널 버전 확인.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.095, 백분위 0.94928)이 moderate 등급으로 산출되어 이론적 심각도(CVSS 7.8) 대비 실제 악용 가능성은 상대적으로 낮게 예측됩니다. 이에 따라 KEV 미등재 상태를 반영하여 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.095 · exploit=moderate · in_scope=None