[방어] 분석 — CVE-2024-57979

• 심각도 high · CVSS 7.8 · EPSS 0.00256 · 악용난이도 hard

1. 트리거 조건: ntpd 및 gpsd와 같은 서비스가 동작 중인 환경에서 프로세스가 종료(sys_exit())될 때, PPS(Pulse Per Second) 서브시스템 내의 객체 참조 카운트 관리 오류로 인해 이미 해제된 메모리에 접근하는 Use-After-Free(UAF) 결함이 발생합니다.
2. 공격 단계:
   • 초기 접근: 공격자는 시스템에 로그인한 로컬 사용자 권한(PR:L)을 가져야 합니다.
   • 실행/권한 획득: PPS 장치를 사용하는 프로세스를 생성하고 특정 조건(예: 재부팅 또는 프로세스 강제 종료)에서 kobject_put()이 잘못 호출되도록 유도하여 커널 메모리 오염을 일으킵니다.
   • 영향: 오염된 메모리 영역에 공격자가 제어하는 데이터를 배치하여 커널 실행 흐름을 변경, 권한 상승(LPE) 또는 시스템 크래시(DoS)를 유발합니다.
3. 공격 표면: Linux Kernel PPS 서브시스템 및 관련 장치 파일( /dev/pps*).
4. CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 개입 불필요)으로, 내부망 침투 후 권한 상승 단계에서 활용될 가능성이 높습니다.

악용 가능성: 본 취약점은 Linux kernel의 PPS(Pulse Per Second) 서브시스템에서 발생하는 Use-After-Free(UAF)로, 공격 난이도는 Hard 수준입니다. CVSS 벡터상 AV:L과 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근하여 로컬 셸을 확보한 상태여야만 트리거가 가능합니다. 공격 표면은 PPS 장치 파일 및 관련 커널 인터페이스이며, 특히 gpsd나 ntpd와 같이 정밀 시간 동기화를 위해 PPS 프로토콜을 사용하는 프로세스의 종료 시점(sys_exit)이 주요 트리거 포인트입니다. 다만 AC:L인 만큼 전제조건 충족 시 공격 복잡도는 낮으나, 커널 메모리 레이아웃을 정교하게 조작해야 하는 UAF 특성상 실제 권한 상승으로 이어지기까지의 기술적 장벽이 높습니다. EPSS 수치가 0.00256으로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점을 이용한 실전 공격 사례가 희박하며, 이론적 심각도에 비해 실제 악용 가능성이 현저히 낮음을 시사합니다. 결론적으로 로컬 권한을 가진 내부 위협이나 이미 침투한 공격자가 커널 권한 탈취를 위해 시도할 수 있는 고난도 공격 경로입니다.

1. 기술적 위험:
   • 시스템 장악: 커널 모드에서의 임의 코드 실행을 통한 Root 권한 획득.
   • 서비스 중단: kobject_put() 호출 시 발생하는 Kernel Panic으로 인한 시스템 가용성 상실(DoS).
2. 비즈니스 영향: GPS/NTP 기반의 정밀 시간 동기화가 필요한 산업 제어 시스템이나 임베디드 장비(예: Raspberry Pi)에서 시스템 중단 및 무결성 훼손이 발생할 수 있습니다.

• 추정: Memory-Corruption 유형의 특성상, 커널 주소 공간 배치 난독화(KASLR)를 우회하기 위한 '커널 정보 유출(Information Leak)' 취약점과 체이닝될 경우 공격 성공률이 비약적으로 상승할 수 있습니다.
• 패턴: 정보 유출 $\rightarrow$ KASLR 우회 $\rightarrow$ UAF 기반 권한 상승 순의 전형적인 커널 익스플로잇 체인이 추정됩니다.

1. 로그 지표: 커널 로그(dmesg, /var/log/kern.log)에서 PPS 관련 UAF 경고 및 kobject_put() 관련 Warning 메시지를 확인합니다.
2. 탐지 규칙 예시:
   • Rule 1 (Kernel Log Pattern): pps와 use-after-free 또는 kobject_put 키워드가 동시에 등장하는 로그 탐지.
     • Pattern: /pps.*(use-after-free|kobject_put).*is not initialized/i
   • Rule 2 (SIEM 의사코드):
     sql복사

      1SELECT timestamp, hostname, message 
      2FROM kernel_logs 
      3WHERE message LIKE '%pps%' AND (message LIKE '%WARNING%' OR message LIKE '%cut here%')
      4AND message LIKE '%kobject_put%'

3. 오탐 튜닝: 정상적인 시스템 업데이트나 특정 하드웨어 드라이버의 일시적 오류로 인해 발생할 수 있습니다. gpsd나 ntpd 프로세스의 비정상 종료 빈도와 함께 분석하여 임계값을 설정해야 합니다.

• 즉시 (긴급 차단): PPS 장치 파일 접근 권한 제한.
  • 조치: /dev/pps* 장치에 대한 일반 사용자 접근을 차단(chmod 600 또는 ACL 설정)하여 공격자가 PPS 서브시스템을 트리거하는 것을 방지합니다.
  • 난이도: 낮음 / 운영 영향: PPS 사용 서비스(gpsd 등) 권한 설정 필요 / 검증: ls -l /dev/pps* 확인 및 일반 계정 접근 테스트.
• 단기 (완화): 불필요한 PPS 관련 서비스 중지.
  • 조치: 현재 정밀 시간 동기화가 필수적이지 않은 서버에서 gpsd 등의 서비스를 일시 중지합니다.
  • 난이도: 낮음 / 운영 영향: 시간 동기화 정확도 저하 가능성 / 검증: systemctl status gpsd.
• 근본 (해결): Linux Kernel 최신 버전으로 업데이트.
  • 조치: 영향 제품 범위(3.2.40 ~ 6.12.13 등)에 해당하는 커널을 패치된 최신 버전으로 업그레이드합니다.
  • 난이도: 보통 / 운영 영향: 재부팅 필요(가용성 일시 중단) / 검증: uname -r로 커널 버전 확인.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00256) 및 CVSS 7.8을 바탕으로 악용 난이도가 hard로 판단되어 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다. 이론적 심각도는 높으나 실제 야생에서의 악용 예측치(EPSS)가 낮으므로, 즉시 차단 후 계획된 패치 일정에 따라 조치하는 전략을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00256 · exploit=hard · in_scope=None