[방어] 분석 — CVE-2024-56631

• 심각도 high · CVSS 7.8 · EPSS 0.00285 · 악용난이도 hard

(1) 트리거 조건: sg_release() 함수 내에서 open_rel_lock 뮤텍스를 해제하기 전 kref_put()을 호출하여 참조 횟수가 0이 되면, sg_remove_sfp() 및 sg_remove_sfp_usercontext()가 실행되어 sfp 객체가 메모리에서 해제됩니다. 이후 함수가 계속 진행되며 이미 해제된 sfp 또는 sdp 구조체에 접근할 때 Slab-Use-After-Free(UAF)가 발생합니다.
(2) 공격 단계:

• 정찰: 로컬 사용자가 /dev/sg* 장치 파일에 대한 접근 권한이 있는지 확인.
• 초기 접근: 유효한 사용자 계정으로 시스템 로그인 (PR:L).
• 실행: SCSI generic 드라이버를 사용하는 특정 I/O 요청 및 닫기 작업을 반복 수행하여 race condition 또는 UAF 상태 유도.
• 영향: 해제된 메모리 영역을 공격자가 제어하는 데이터로 재구성(Slab Spraying)하여 커널 함수 포인터를 덮어쓰거나 임의 코드 실행 시도 $\rightarrow$ 권한 상승 또는 시스템 패닉(DoS).
  (3) 공격 표면: /dev/sg* (SCSI generic device interfaces).
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요).

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 하며, /dev/sg*와 같은 SCSI Generic 장치 파일에 접근 가능한 특수 권한이 전제되어야 합니다. 공격 표면은 Linux 커널의 SCSI 서브시스템 내 sg_release() 함수이며, 특정 시퀀스로 장치를 오픈하고 닫는 과정에서 발생하는 slab-use-after-free 상태를 트리거해야 합니다. 다만, EPSS 수치가 0.00285로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 취약점을 이용한 실제 공격 사례가 희박함을 시사합니다. 그럼에도 불구하고 커널 메모리 오염을 유발하는 UAF 특성상, 이론적으로는 권한 상승(Privilege Escalation)이나 시스템 크래시를 통한 서비스 거부(DoS)로 이어질 가능성이 존재합니다. 결과적으로 로컬 접근 제어 및 장치 파일 권한 관리가 이루어지는 환경이라면 실제 악용 가능성은 매우 낮으나, 커널 레벨의 취약점이라는 점에서 잠재적 위험도는 상존합니다.

(1) 기술적 위험:

• 커널 메모리 오염으로 인한 시스템 크래시(Kernel Panic) 및 서비스 가용성 상실.
• 추정: 정교하게 조작된 페이로드를 통해 일반 사용자 권한에서 루트(root) 권한으로의 권한 상승(Privilege Escalation).
  (2) 비즈니스 영향:
• 서버 다운타임 발생 시 서비스 중단 및 가용성 저하.
• 로컬 권한 상승 성공 시 시스템 내 기밀 데이터 유출 및 전체 인프라 제어권 상실 위험.

• 유형: Memory Corruption (CWE-416: Use-After-Free).
• 체이닝 패턴: 추정: [로컬 파일 읽기/쓰기 권한 획득] $\rightarrow$ [SCSI 장치 인터페이스 접근] $\rightarrow$ [UAF 트리거를 통한 커널 메모리 조작] $\rightarrow$ [권한 상승(LPE)].

(1) 로그 지표:

• dmesg 또는 /var/log/syslog, /var/log/kern.log 내 KASAN(Kernel Address Sanitizer) 경고 메시지 확인.
• 패턴: BUG: KASAN: slab-use-after-free in lock_release, sg_release+0x... 등의 콜 스택 포함 여부.
  (2) 탐지 규칙 예시:
• SIEM 쿼리 (의사코드):
  SELECT timestamp, hostname, message FROM kernel_logs WHERE message LIKE '%slab-use-after-free%' AND message LIKE '%sg_release%'
• HIDS/EDR 로직: /dev/sg* 장치에 대해 일반 사용자가 비정상적으로 짧은 시간 내에 반복적인 open/close를 수행하는 프로세스 모니터링.
  (3) 오탐 튜닝:
• 정상적인 SCSI 관리 도구나 백업 소프트웨어가 해당 장치를 빈번하게 호출하는지 확인하여 화이트리스트 처리.
• KASAN은 주로 디버그 커널에서 활성화되므로, 운영 환경에서는 Kernel Panic 로그와 함께 분석 필요.

• 즉시(긴급 차단): /dev/sg* 장치 파일의 권한을 root 전용으로 제한하여 일반 사용자의 접근을 원천 차단.
  • 조치: chmod 600 /dev/sg* 또는 udev rule 수정을 통해 접근 제어.
  • 난이도: 매우 낮음 / 영향: SCSI 장치를 직접 사용하는 일반 앱 작동 불가 / 검증: ls -l /dev/sg* 확인 / 우선순위: 최우선.
• 단기(완화): 커널 모듈 로드 제한. SCSI generic 드라이버(scsi_sg)가 불필요한 서버라면 해당 모듈을 언로드하거나 블랙리스트 처리.
  • 조치: modprobe -r scsi_sg 및 /etc/modprobe.d/blacklist.conf에 추가.
  • 난이도: 낮음 / 영향: SCSI generic 기능 사용 불가 / 검증: lsmod | grep scsi_sg 확인 / 우선순위: 높음.
• 근본(해결): 패치된 커널 버전으로 업데이트. (영향 제품 범위: 3.16.85 - 6.6.66, 6.7 - 6.12.5 및 최신 커널).
  • 조치: OS 벤더 제공 보안 업데이트 적용 후 리부팅.
  • 난이도: 보통 / 영향: 시스템 재시작 필요(Downtime 발생) / 검증: uname -a 버전 확인 / 우선순위: 근본 해결책.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00285)과 CVSS 7.8 및 AV:L 조건을 기반으로 실제 악용 가능성은 낮으나(hard), 영향도가 높아 '이번 주 내(scheduled)' 대응하는 것으로 우선순위를 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00285 · exploit=hard · in_scope=None