[방어] 분석 — CVE-2025-21926

• 심각도 medium · CVSS 5.5 · EPSS 0.00206 · 악용난이도 hard

(1) 트리거 조건: Linux 커널의 UDP GSO(Generic Segmentation Offload) 처리 과정 중 __udp_gso_segment 함수에서 skb destructor는 제거되지만 socket reference가 유지되는 결함을 이용합니다. 특히 OpenVSwitch 환경에서 특정 액션 시퀀스가 발생할 때 트리거됩니다.
(2) 공격 단계:

• 전제조건: 공격자가 시스템에 로컬 접근 권한을 가지고 있어야 하며(PR:L), OpenVSwitch가 설정된 환경이어야 합니다.
• 실행: OVS_ACTION_ATTR_USERSPACE 액션이 OVS_ACTION_ATTR_OUTPUT 액션보다 먼저 처리되도록 패킷 흐름을 유도합니다.
• 트리거: __udp_gso_segment를 거치며 destructor가 제거된 skb가 이후 skb_orphan 함수에 도달하면 커널 BUG가 발생합니다.
• 영향: 시스템 커널 패닉(Kernel Panic)으로 인한 서비스 중단이 발생합니다.
  (3) 공격 표면: 로컬 네트워크 스택 및 OpenVSwitch 가상 스위치 인터페이스.
  (4) CVSS 벡터 연결: AV:L (로컬 접근 필요), AC:L (공격 복잡도 낮음), PR:L (낮은 수준의 권한 필요), UI:N (사용자 상호작용 불필요). 이는 외부 네트워크에서 직접 공격하기보다 시스템 내부 권한을 가진 사용자가 가용성을 파괴하는 시나리오에 해당합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에서 알 수 있듯, 공격자는 이미 시스템 내부에 낮은 권한(Low Privilege)으로 진입하여 로컬 환경에서 실행 권한을 확보해야 하는 전제조건이 필요합니다. 공격 표면은 Linux Kernel의 네트워크 스택, 특히 UDP GSO(Generic Segmentation Offload) 처리 과정과 __udp_gso_segment 함수 내의 skb 소유권 관리 로직에 국한됩니다. 트리거를 위해서는 OpenVSwitch 환경에서 OVS_ACTION_ATTR_USERSPACE와 OVS_ACTION_ATTR_OUTPUT 액션이 특정 순서로 발생하는 정교한 패킷 흐름을 유도해야 하므로, 일반적인 네트워크 요청만으로는 악용이 어렵습니다. EPSS 수치가 0.00206으로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서 자동화된 공격 도구로 활용될 가능성이 극히 희박함을 시사합니다. 결과적으로 이론적인 커널 패닉(Kernel BUG) 유발 가능성은 존재하나, 특정 네트워크 가상화 환경과 로컬 권한이라는 제약 조건으로 인해 실제 악용 가능성은 매우 낮습니다.

(1) 기술적 위험: 커널 BUG(kernel BUG at ./include/linux/skbuff.h:3312!) 발생으로 인한 시스템 즉시 중단(Denial of Service). 메모리 오염으로 인한 예상치 못한 동작이 발생할 수 있으나, 본 CVE의 주된 결과는 가용성 상실(A:H)입니다.
(2) 비즈니스 영향: OpenVSwitch를 사용하는 클라우드 인프라나 가상화 환경에서 호스트 커널이 다운될 경우, 해당 호스트 위에서 구동되는 모든 가상 머신(VM) 및 컨테이너 서비스가 동시에 중단되어 대규모 서비스 장애로 이어질 수 있습니다.

추정: 본 취약점은 단독으로 권한 상승을 일으키지는 않으나, A:H(가용성 파괴) 특성을 가집니다. 추정컨대, 다른 로컬 권한 상승(LPE) 취약점과 체이닝되어 시스템 관리자 권한을 획득한 공격자가 특정 서비스의 가동을 정지시키거나, 커널 패닉을 유도하여 보안 솔루션(EDR/IDS)의 작동을 일시적으로 무력화하는 용도로 사용될 수 있습니다.

(1) 로그 지표: /var/log/syslog, /var/log/messages 또는 dmesg 출력에서 커널 스택 트레이스 및 특정 함수 호출 패턴 확인.
(2) 탐지 규칙:

• 로직: dmesg 또는 커널 로그에서 kernel BUG와 skb_orphan, __udp_gso_segment 키워드가 동시에 나타나는지 모니터링.
• SIEM 쿼리 예시:
  index=linux_logs message="*kernel BUG*" AND message="*skb_orphan*" AND message="*__udp_gso_segment*"
• 정규식 패턴: kernel BUG at .*skbuff\.h:\d+!.*RIP: .*ip_rcv_core
  (3) 오탐 시나리오 및 튜닝: 네트워크 드라이버의 일반적인 Crash와 구분해야 합니다. __udp_gso_segment $\rightarrow$ ip_rcv_core $\rightarrow$ skb_orphan으로 이어지는 Call Trace가 명확히 포함된 경우만 본 취약점으로 판단하여 오탐을 줄입니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00206(백분위 0.10928)의 낮은 실측 악용 예측치와 AV:L 조건을 근거로 우선순위를 monitor로 결정하였습니다.

즉시(긴급 차단):

• 조치: OpenVSwitch 설정에서 OVS_ACTION_ATTR_USERSPACE를 사용하는 복잡한 액션 체인을 검토하고, 불필요한 유저스페이스 전달 설정을 일시적으로 제한합니다.
• 난이도/영향: 중간 / 서비스 기능 일부 제한 가능성 있음.
• 검증: ovs-appctl 등을 통해 현재 적용된 Flow Rule의 액션 순서 확인.

단기(완화):

• 조치: 커널 패닉 발생 시 자동 재부팅 설정(kernel.panic = 10)을 통해 서비스 다운타임을 최소화하고, dmesg 모니터링 알람을 설정하여 공격 시도를 즉시 인지합니다.
• 난이도/영향: 낮음 / 가용성 회복 속도 향상.
• 검증: /proc/sys/kernel/panic 값 확인.

근본(해결):

• 조치: 영향받는 커널 버전(4.18~6.13.7 등)에서 해당 수정사항이 반영된 최신 안정 버전으로 커널 업그레이드 수행.
• 난이도/영향: 높음 / 시스템 재부팅 필요 및 커널 모듈 호환성 테스트 필수.
• 검증: uname -r 명령어로 업데이트된 커널 버전 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00206 · exploit=hard · in_scope=None