[방어] 분석 — CVE-2026-23463

• 심각도 medium · CVSS 4.7 · EPSS 0.00094 · 악용난이도 hard

본 취약점은 qbman 드라이버의 qman_destroy_fq()와 qman_create_fq() 함수 간에 발생하는 Race Condition입니다.

1. 경로: QMAN_FQ_FLAG_DYNAMIC_FQID 설정 시, Thread A가 FQID를 해제(gen_pool_free)한 직후, Thread B가 동일한 FQID를 즉시 할당받아 사용하기 시작합니다.
2. 트리거: Thread A가 fq_table[fq->idx] = NULL 처리를 완료하기 전에 Thread B가 해당 인덱스에 접근하여 WARN_ON(fq_table[fq->idx])을 트리거하거나, 상태 불일치로 인한 커널 패닉을 유발합니다.
3. 조건: 로컬 권한(AV:L)이 필요하며, 매우 정교한 타이밍 조작이 필요하므로 공격 난이도는 높습니다(AC:H).

악용 가능성: 본 취약점의 공격 난이도는 매우 높으며(Hard), 실제 악용 가능성은 현재로서는 낮게 평가됩니다. CVSS 벡터 상 AV:L과 AC:H가 의미하듯, 공격자는 이미 시스템에 낮은 권한(PR:L)으로 진입하여 로컬 쉘을 확보한 상태여야 하며, 매우 정교하고 까다로운 타이밍 조작이 필요합니다. 구체적인 공격 표면은 Linux 커널 내 fsl qbman 드라이버의 FQ(Frame Queue) 생성 및 삭제 프로세스이며, 특히 QMAN_FQ_FLAG_DYNAMIC_FQID 설정 시 qman_destroy_fq()와 qman_create_fq() 간의 Race Condition을 트리거해야 합니다. 이는 특정 하드웨어 가속기 환경에서 메모리 풀의 할당/해제 시점이 겹쳐야 하는 물리적·논리적 제약이 따릅니다. EPSS 수치가 0.00094로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 크래시 가능성과 별개로 실제 야생(In-the-wild)에서 이를 이용한 공격 사례가 거의 없음을 뒷받침합니다. 따라서 본 취약점은 일반적인 외부 공격보다는 특정 하드웨어 환경을 사용하는 내부 권한 상승 시나리오에 국한된 위협으로 분석됩니다.

• 가용성 침해(DoS): WARN_ON 트리거 또는 커널 패닉으로 인해 시스템이 중단될 수 있습니다. 특히 QMan 드라이버를 사용하는 데이터 플레인 장비의 경우 서비스 전체 중단으로 이어질 수 있습니다.
• 추정: 메모리 오염: Race Condition 특성상 포인터 참조 오류가 발생할 경우, 제한적인 범위 내에서 커널 메모리 오염 가능성이 존재합니다.

• 권한 상승 체이닝: 본 취약점 단독으로는 A:H(가용성 영향) 위주이나, 로컬 공격자가 다른 권한 상승(LPE) 취약점과 연계하여 커널 메모리 구조를 조작할 경우 공격 영향력이 확대될 수 있습니다.

커널 로그(dmesg, /var/log/kern.log)에서 qbman 관련 경고 메시지를 추적하는 것이 핵심입니다.

• 로그 지표: WARN_ON 발생 시 커널 스택 트레이스에 qman_create_fq 및 qman_destroy_fq 함수명이 동시에 나타납니다.
• 탐지 규칙 예시:
  1. SIEM 쿼리 (의사코드):
     SELECT timestamp, hostname, message FROM kernel_logs WHERE message LIKE '%qbman%' AND (message LIKE '%WARN_ON%' OR message LIKE '%race condition%')
  2. 정규식 패턴: /(qman_create_fq|qman_destroy_fq).*WARN_ON/
  3. 임계값 기반 탐지: 단시간 내에 동일한 FQID 관련 WARN_ON 로그가 5회 이상 반복 발생할 경우 '악용 시도'로 간주하여 알람 생성.
• 오탐 튜닝: 정상적인 드라이버 로드/언로드 과정에서 발생하는 일시적 경고인지, 특정 프로세스가 의도적으로 FQID 할당/해제를 반복하며 유발하는 패턴인지 구분해야 합니다.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, EPSS 0.00094 및 CVSS 4.7(Medium) 수치를 근거로 우선순위를 monitor로 결정하였습니다. 이는 실제 악용 사례가 드물고 공격 난이도가 높기 때문입니다.

• 즉시 (긴급 차단): QMan 관련 모듈/인터페이스 접근 제한.
  • 특권 권한이 없는 사용자의 ioctl 호출 및 /dev/qbman(추정) 등 드라이버 인터페이스 접근을 ACL 또는 SELinux/AppArmor 정책으로 엄격히 제한합니다.
  • 난이도: 낮음 / 운영 영향: 낮음 / 검증: 비특권 계정에서 관련 장치 파일 접근 테스트.
• 단기 (완화): 동적 FQID 할당 모니터링 및 사용 최소화.
  • QMAN_FQ_FLAG_DYNAMIC_FQID 설정이 필수적이지 않은 환경이라면 정적 할당 방식으로 전환하거나, 해당 기능을 사용하는 애플리케이션의 실행 빈도를 제한합니다. (단, 가용성 저하 위험이 있으므로 영향 평가 선행 필요)
  • 난이도: 중간 / 운영 영향: 높음(가용성 저하 가능성) / 검증: 트래픽 스케줄링 성능 측정.
• 근본 (해결): 커널 업데이트.
  • 영향을 받는 버전 범위(4.9 ~ 6.19.10)를 확인하여 최신 패치 버전으로 업그레이드합니다. (fq_table[fq->idx] = NULL 처리를 해제 전으로 옮긴 수정본 적용)
  • 난이도: 중간 / 운영 영향: 중간(재부팅 필요) / 검증: uname -r 및 커널 버전 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=4.7 · non-KEV · EPSS=0.00094 · exploit=hard · in_scope=None