[분석가] 분석 — CVE-2025-40219

• 심각도 미상 · CVSS 미상 · EPSS 0.00198 · 악용난이도 hard

본 취약점은 Linux 커널의 PCI/IOV 서브시스템에서 SR-IOV(Single Root I/O Virtualization)의 활성화/비활성화 동작과 PCI Hotplug 이벤트 간의 Race Condition으로 인해 발생합니다.

• 경로: sriov_add_vfs() 또는 sriov_del_vfs() 호출 시 PCI rescan/remove lock을 획득하는 과정에서, SR-IOV가 활성화된 PF(Physical Function)를 제거하려는 동작이 동시에 발생할 때 Lock 순서의 모순으로 인해 Deadlock이 유발됩니다.
• 단계: sriov_numvfs_store() $\rightarrow$ Driver's sriov_configure() callback 호출 과정에서 적절한 시점에 Lock이 제어되지 않아 시스템 정지 상태에 이르게 됩니다.

악용 가능성: 본 취약점은 Linux kernel의 PCI/IOV 서브시스템 내 SR-IOV 활성화/비활성화와 Hotplug 작업 간의 Race Condition으로 인한 Deadlock 유발 가능성을 다룹니다. 공격 난이도는 hard로 평가되며, 이는 CVSS 벡터상 Local 권한(PR:L)과 특정한 하드웨어 구성 및 정밀한 타이밍 제어(AC:H)가 전제되어야 하기 때문입니다. 공격 표면은 PCI Express 버스의 SR-IOV 가상 함수(VF) 생성/삭제 엔드포인트와 Hotplug 관련 커널 인터페이스로 국한됩니다. EPSS 수치가 0.00198로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 심각도와 달리 실제 야생(In-the-wild)에서 공격자가 이를 정밀하게 트리거하여 악용하고 있는 사례가 거의 없음을 시사합니다. 결과적으로 로컬 권한을 가진 공격자가 특정 하드웨어 환경에서 시스템 가용성을 저해하기 위해 의도적으로 Race Condition을 유발해야 하므로, 일반적인 외부 공격 경로를 통한 악용 가능성은 매우 낮습니다.

• 기술적 위험: 악용 성공 시 커널 레벨의 Deadlock이 발생하여 대상 시스템의 전체적인 가용성이 상실(Denial of Service)됩니다. 이는 단순 프로세스 종료가 아닌 OS 커널의 중단으로 이어져 강제 재부팅이 필요합니다.
• 비즈니스 리스크: SR-IOV를 사용하는 고성능 네트워크 환경(가상화 서버, 클라우드 인프라 등)에서 시스템 다운타임이 발생하여 서비스 연속성이 저해될 수 있습니다. 다만, 특정 하드웨어 구성과 정밀한 타이밍의 이벤트가 결합되어야 하므로 대규모 동시 피해 가능성은 낮을 것으로 추정됩니다.
• 노출 규모: Linux 커널 기반의 PCI/IOV 기능을 사용하는 시스템이 대상이나, 구체적인 영향 버전은 명시되지 않았습니다(추정: 해당 패치가 적용되기 전의 최신 메인라인 커널).

커널 내 Lock 관리 미흡으로 인한 Race Condition 유형입니다. 단독으로 권한 상승을 유발하기보다, 시스템 가용성을 무너뜨리는 DoS 공격 형태로 나타나며 타 취약점과 체이닝하여 시스템 불안정 상태를 유도하는 용도로 활용될 가능성이 있습니다.

• 커널 로그 분석: dmesg 또는 /var/log/kern.log에서 PCI Hotplug 이벤트와 SR-IOV 설정 변경 시점에 발생하는 Kernel Panic 또는 Soft Lockup 메시지를 모니터링합니다.
• 패턴 예시: sriov_numvfs_store, sriov_configure 관련 함수 호출 이후 시스템 응답이 중단되는 현상을 추적합니다.

• 근본 해결: 해당 Race Condition을 수정한 최신 Linux 커널 패치를 적용하여 Lock 획득 시점을 sriov_numvfs_store() 단계로 상향 조정합니다.
• 즉시 조치: 패치 적용 전까지는 신뢰할 수 없는 사용자가 SR-IOV 설정(sysfs 인터페이스 등)을 변경하거나 Hotplug를 유발할 수 있는 권한을 가지지 않도록 제한합니다.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00198, 백분위 0.09908)이 매우 낮고 악용 난이도가 hard로 분류됨에 따라 우선순위를 monitor로 결정하였습니다. CVSS 점수가 미상이나 실제 야생에서의 악용 사례가 관측되지 않은 점을 종합하여 리소스 투입 우선순위를 보수적으로 설정했습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00198 · exploit=hard · in_scope=None