[분석가] 분석 — CVE-2026-23456

• 심각도 high · CVSS 8.2 · EPSS 0.00523 · 악용난이도 moderate

• 취약점 경로: netfilter 모듈 내 nf_conntrack_h323 컴포넌트의 decode_int() 함수에서 발생합니다.
• 촉발 원리: CONS 케이스 처리 시, get_bits(bs, 2)를 통해 길이(len) 값을 읽어온 후, 해당 len 바이트가 버퍼 내에 실제로 존재하는지 검증하지 않고 get_uint(bs, len)를 호출합니다.
• 실행 단계: 공격자가 조작된 H.323/RAS 패킷을 전송 $\rightarrow$ 커널이 이를 처리하는 과정에서 경계 검사 누락 $\rightarrow$ 1~4바이트의 Slab-out-of-bounds(OOB) read가 유발됩니다.

악용 가능성: 본 취약점은 Linux kernel 내 nf_conntrack_h323 모듈의 decode_int() 함수에서 발생하는 Out-of-Bounds (OOB) Read 취약점으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 네트워크를 통해 인증 없이 특수하게 조작된 H.323/RAS 패킷을 전송하는 것만으로 트리거가 가능하여 공격 진입 장벽이 매우 낮습니다. 공격 표면은 netfilter의 H.323 연결 추적 기능이 활성화된 엔드포인트의 네트워크 인터페이스이며, 구체적으로는 get_bits() 이후 get_uint() 단계에서 길이 검증 없이 버퍼를 읽는 로직이 취약 지점입니다. 다만, EPSS 수치가 0.00523으로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 이는 해당 프로토콜의 사용 빈도가 낮고, 1~4바이트 수준의 소규모 OOB Read가 즉각적인 RCE로 이어지기보다 커널 패닉으로 인한 DoS를 유발할 가능성이 크기 때문인 것으로 분석됩니다. 결과적으로 이론적 공격 난이도는 매우 낮으나, 실제 환경에서의 위협 실현 가능성은 낮은 상태입니다.

• 기술적 위험:
  • 정보 유출: Slab 영역의 인접 메모리 데이터를 읽어냄으로써 커널 메모리 주소 등 민감한 정보가 노출될 수 있습니다.
  • 서비스 중단: 잘못된 메모리 참조로 인해 커널 패닉(Kernel Panic)이 발생하여 시스템 전체 가용성이 상실될 위험이 큽니다(CVSS A:H 반영).
• 비즈니스 리스크: 영향 제품 범위가 Linux Kernel 2.6.17부터 6.19 버전대까지 매우 광범위하며, 다중 소스 데이터 교차검증을 통해 일관성이 확인된 만큼 공급망 관점의 노출 규모가 매우 큽니다. 이는 인프라 전반의 가용성 저해 및 서비스 신뢰도 하락으로 이어질 수 있습니다.
• 위협 맥락: 현재 KEV(Known Exploited Vulnerabilities)에 등재되지 않았으며, EPSS 수치는 0.00523(백분위 0.41452)으로 실측 기반의 실제 악용 가능성은 현재로서는 낮게 예측됩니다.

• 유형: Memory-Corruption (OOB Read).
• 체이닝 가능성: 단독으로는 정보 유출이나 Crash에 그치지만, 추정: 유출된 커널 메모리 주소를 활용하여 KASLR(Kernel Address Space Layout Randomization)을 우회하고 다른 권한 상승 취약점과 연계할 가능성이 있습니다.

• 네트워크 레벨: 비정상적인 길이 필드를 포함한 H.323/RAS 프로토콜 패킷 유입 모니터링.
• 시스템 레벨: nf_conntrack_h323 처리 중 발생하는 커널 덤프 또는 Slab-out-of-bounds 관련 커널 로그 분석.

• 근본 해결: 영향받는 각 커널 버전(2.6.17 ~ 6.19 등)에 대해 decode_int() 함수 내 get_uint() 호출 전 경계 검사 로직이 추가된 최신 보안 패치를 적용하십시오.
• 즉시 조치: H.323 프로토콜을 사용하지 않는 환경이라면, 해당 커널 모듈(nf_conntrack_h323)의 로드를 차단하거나 방화벽에서 관련 트래픽을 드롭 처리하여 공격 벡터를 제거하십시오.
• 우선순위: CVSS 8.2의 높은 심각도와 광범위한 영향 범위로 인해, EPSS 수치는 낮으나 규칙 기반 우선순위에 따라 이번 주 내(scheduled) 대응을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.2 · non-KEV · EPSS=0.00523 · exploit=moderate · in_scope=None