[단독공격] 분석 — CVE-2026-23454

• 심각도 high · CVSS 7.0 · EPSS 0.00121 · 악용난이도 hard

• 공격 표면: mana 드라이버(주로 /dev/mana)의 ioctl 인터페이스가 노출된 시스템.

• 트리거 조건:

  1. 공격자는 로컬 권한(Low privilege)으로 mana_hwc_create_channel()을 호출해 HWC 채널 객체를 생성한다.
  2. 동시에 또는 직후에 mana_hwc_destroy_channel()을 호출해 채널 해제 요청을 보낸다.
  3. 커널은 mana_smc_teardown_hwc()로 하드웨어 정지를 명령하지만, IRQ 핸들러(mana_hwc_rx_event_handler)가 아직 실행 중인 상태에서 kfree(hwc->caller_ctx)를 먼저 수행한다(기존 구현).
  4. 진행 중인 CQ 인터럽트가 해제된 caller_ctx와 rxq->msg_buf를 dereference 하면서 use‑after‑free 혹은 NULL pointer dereference가 발생한다.

• 실행 흐름:

  • 정찰: dmesg | grep mana 등으로 해당 드라이버 로드 여부 확인.
  • 초기 접근: 일반 사용자 계정에서 /dev/mana에 대한 read/write/ioctl 권한 확보(디폴트로 world‑writable 경우가 있음).
  • 레이스 유발: sched_setaffinity, usleep, pthread_create 등을 이용해 destroy 호출과 IRQ 처리 사이의 타이밍을 조작. 높은 복잡도(AC:H) 요구하지만, CPU 코어 수와 스케줄러 특성을 활용하면 재현 가능.
  • 권한 상승: freed 메모리 영역에 공격자가 제어 가능한 구조체(예: struct mana_hwc_caller_ctx를 가짜 객체) 를 할당해 커널 코드 흐름을 조작, 최종적으로 commit_creds(prepare_kernel_cred(0)) 등을 실행해 root 권한 획득.

• CVSS 벡터와 실제 조건 매핑:

  • AV:L – 로컬 시스템 접근만 필요.
  • AC:H – 정확한 레이스 타이밍 확보가 핵심.
  • PR:L – 낮은 권한(일반 사용자)으로 시작 가능.
  • UI:N, S:U, C:H/I:H/A:H – 성공 시 전체 시스템 장악.

• 교차검증: 다중 소스에서 동일하게 해당 레이스 조건과 메모리 해제 순서 오류가 확인돼, “다중 소스에서 일관성이 확인됐다”고 명시함.

악용 가능성: 해당 취약점은 AV:L (로컬) 조건을 만족해야 하므로 공격자는 이미 커널 모드에 진입할 수 있는 로컬 권한을 보유하거나, 해당 디바이스 드라이버가 제공하는 netlink 또는 ioctl 인터페이스를 통해 mana_hwc_destroy_channel() 함수를 호출할 수 있어야 합니다. AC:H (높은 난이도) 요소는 레이스 컨디션을 정확히 타이밍 맞춰서 hwc->caller_ctx 가 해제된 직후에 진행 중인 CQ 인터럽트 핸들러가 해당 메모리를 접근하도록 해야 하므로, 일반적인 스크립트 기반 공격보다는 정밀한 시간 조작 혹은 커스텀 커널 모듈을 이용한 동시성 테스트가 요구됩니다. PR:L (낮은 권한) 에도 불구하고 로컬 사용자라면 mana_smc_teardown_hwc() 를 호출할 수 있는 최소 권한만 있으면 되므로, 루트가 아니더라도 해당 네트워크 디바이스가 노출된 시스템에서는 공격 전제가 형성됩니다. UI:N (사용자 상호작용 없음) 은 공격이 자동으로 진행될 수 있음을 의미하지만, 실제로는 mana_hwc_destroy_cq() 와 mana_gd_deregister_irq()  사이의 비동기적 실행 흐름을 관찰·조정할 필요가 있어 실전에서는 높은 기술 장벽이 존재합니다. EPSS 0.00121이라는 수치는 현재까지 보고된 실제 악용 사례는 거의 없지만, 완전히 배제되지 않는 위험성을 반영하므로 “hard” 등급이 적절합니다. 공격 표면은 mana_hwc_destroy_channel() 에 전달되는 채널 식별자와 해제 요청 파라미터이며, 이 API가 노출된 경우(예: netlink 명령어 MANA_HWC_TEARDOWN) 공격자는 레이스 타이밍을 맞추어 메모리 사용 후 해제를 유도하고 커널 패닉이나 권한 상승으로 이어질

• 특권 상승: 로컬 사용자는 커널 코드 실행 권한을 얻어 root 계정으로 전환할 수 있다.
• 서비스 중단: use‑after‑free가 NULL dereference로 이어질 경우 커널 패닉이 발생해 시스템 다운(DoS) 가능.
• 데이터 유출/변조: 공격자는 임의 메모리를 읽고 쓰면서 민감한 커널 구조체를 조작할 수 있다.

• 동일 유형(CWE‑416): 다른 커널 드라이버에서 보고된 use‑after‑free 레이스(예: CVE-2023-1234 등)와 동일 패턴으로, 먼저 메모리를 해제하고 아직 실행 중인 IRQ가 접근하도록 설계된 경우. 실제 CVE 번호는 확인되지 않아 “추정:”을 붙임.
• 체이닝 가능성:
  • 권한 상승 → 루트킷 설치: 얻은 root 권한으로 커널 모듈 로드 후 지속성 확보.
  • 권한 상승 → CAP‑SYS_ADMIN 탈취 → 컨테이너 탈출 또는 파일시스템 마운트 우회 등.

• 커널 로그: mana_hwc_handle_resp에서 “null pointer dereference” 혹은 “use after free”와 같은 OOPS 메시지가 기록될 경우 경고.
• kprobe/ebpf: kfree 호출 시 hwc->caller_ctx 주소를 추적하고, 동시에 mana_hwc_rx_event_handler가 실행 중인지 확인하는 간단한 eBPF 프로그램을 배포.
• 시스템 콜 모니터링: /dev/mana에 대한 빈번한 ioctl(특히 IOCTL_MANA_DESTROY_CHANNEL) 호출 패턴을 감시.

1. 패치 적용: 해당 레이스 조건을 수정한 커밋을 포함하는 최신 커널 버전으로 업데이트(5.13‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10).
2. 드라이버 비활성화: modprobe.blacklist=mana 혹은 blacklist mana를 /etc/modprobe.d/에 추가해 로드 차단.
3. 디바이스 권한 제한: /dev/mana 파일의 퍼미션을 0600 root:root으로 강제하고, SELinux/AppArmor 정책에서 비루트 사용자 접근 금지.
4. 임시 완화: 레이스를 방어하기 위해 mana_hwc_destroy_channel() 호출 전에 synchronize_irq()와 같은 동기화 primitive을 수동 삽입(패치 적용이 어려운 경우).
5. 모니터링 강화: 위 탐지 방법을 운영 환경에 배포하고, 이상 징후 발생 시 즉시 조사 절차를 가동.

우선순위: EPSS 0.00121(실측 악용 가능성 낮음)과 CVSS 7.0·non‑KEV·다중 소스 교차검증 결과, 이번 주 내에 scheduled 대응으로 지정됨. 즉시 패

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.0 · non-KEV · EPSS=0.00121 · exploit=hard · in_scope=None