[단독분석] 분석 — CVE-2024-42079

• 심각도 medium · CVSS 5.5 · EPSS 0.00268 · 악용난이도 hard

gfs2_log_flush() 함수가 로그 플러시 중에 sdp->sd_jdesc 가 NULL 인지를 확인하지 않아, glock 작업이 언마운트와 경쟁하면 NULL 포인터 역참조가 발생합니다. 이 결함은 로컬 권한을 가진 프로세스가 GFS2 파일시스템을 마운트한 상태에서 언마운트를 시도하거나, glock 워크 큐가 실행 중일 때 트리거될 수 있습니다. 성공적인 악용 시 커널 패닉이 일어나 시스템이 다운됩니다.

악용 가능성: 이 취약점은 AV:L(로컬)이며, 공격자는 동일 시스템에 직접 접근해야 합니다. 복잡도는 AC:L·PR:L·UI:N 로 평가되므로, 루트 권한을 포함하지 않는 일반 사용자 계정으로도 충분히 재현 가능한 낮은 난이도를 가집니다. 실제 위험성을 판단할 때는 EPSS = 0.00268(0.268 %)이라는 매우 낮은 실측 확률과 KEV에 등재되지 않음을 근거로, 현재까지 공개된 악용 사례가 없으며 이론적 심각도와 별개로 실제 위협이 제한적임을 알 수 있습니다. 트리거 조건은 GFS2 파일시스템에서 glock 작업이 진행되는 도중에 언마운트가 발생하여 sdp->sd_jdesc 가 NULL 상태가 되는 경우이며, 이는 커널 내부의 레이스 상황으로 특정 시스템 콜(예: umount)과 glock 관련 I/O가 동시에 일어날 때만 성립합니다. 따라서 공격 표면은 Linux 커널의 GFS2 모듈에 한정되며, 외부 네트워크 인터페이스나 사용자‑공개 API와는 직접 연결되지 않아 원격 공격이 불가능합니다. 요약하면, 로컬 환경에서 특수한 파일시스템 작업을 유도할 수 있는 상황이라면 이론적으로는 취약점을 이용할 여지가 있으나, 실제 악용 가능성은 매우 낮고 탐지·완화가 비교적 쉬운 편에 해당합니다.

• 기술적 위험: NULL 포인터 역참조로 인한 커널 패닉 → 서비스 중단(DoS). CVSS 벡터에 의해 기밀성·무결성은 영향을 받지 않으며, 가용성(A)만 ‘높음(H)’으로 평가됩니다.
• 비즈니스 영향: GFS2 파일시스템을 사용하는 서버가 갑작스럽게 재부팅되면 서비스 가용성이 손실되고, 복구에 소요되는 시간·인력 비용이 발생합니다. 특히 금융·제조·클라우드 인프라 등 24/7 운영이 요구되는 환경에서 SLA 위반 위험이 존재합니다.
• 노출 규모: Linux 커널 < 6.6.37 및 6.7‑6.9.8 버전을 사용하고 GFS2 파일시스템을 활성화한 모든 시스템이 대상입니다. 다중 소스 교차검증 결과(신뢰도 1.0)에서 영향 제품 범위가 일관되게 확인되었습니다.
• 악용 가능성: EPSS 0.00268(백분위 0.18797)은 실제 악용 확률이 낮은 편임을 의미하지만, ‘hard’ 등급으로 평가된 만큼 자동화된 공격 구현이 어려운 점을 반영합니다. 따라서 위험도는 중간 수준이며, 가용성 손실 위협에 대비한 모니터링 및 패치 적용이 권고됩니다.

GFS2와 로그 플러시 메커니즘에 연관된 과거 레이스 컨디션 취약점들과 유사한 공격 흐름을 가질 수 있습니다. 현재 확인된 다른 CVE와 직접적인 체인 관계는 보고되지 않았으며, 추가적인 권한 상승이나 원격 코드 실행을 위한 연계는 추정됩니다.

• dmesg·커널 로그에 “NULL pointer dereference in gfs2_log_flush” 또는 유사한 oops 메시지가 기록되는 경우.
• 시스템 크래시 덤프(core dump)에서 gfs2_log_flush 호출 스택이 포함된 경우.
• 언마운트 시점과 동시에 glock 워크 큐가 활성화된 상황을 추적하는 커널 이벤트 로그.

1. 패치 적용: Linux 커널 6.6.37 이상, 6.9.9 이상 버전으로 업데이트하여 해당 코드가 수정된 패치를 즉시 배포합니다.
2. 임시 대응: GFS2 파일시스템 사용을 중단하거나, 언마운트 전 glock 작업이 완료될 때까지 대기하도록 스크립트를 삽입합니다.
3. 모니터링 강화: 위 탐지 항목을 기반으로 로그 수집·분석 시스템에 알림 규칙을 추가하고, 비정상적인 커널 oops 발생 시 즉시 대응 절차를 실행합니다.
4. 운영 정책: 중요한 서비스에서는 정기적으로 커널 버전 검증 및 보안 업데이트 주기를 점검하여 유사한 취약점 노출을 최소화합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00268 · exploit=hard · in_scope=None