[방어] 분석 — CVE-2025-21718

• 심각도 high · CVSS 7.8 · EPSS 0.00163 · 악용난이도 hard

ROSE 프로토콜의 타이머가 소켓 스핀락만 획득하고 사용자 스레드 소유 여부를 확인하지 않아, 경쟁 상황에서 타이머 콜백이 이미 해제된 소켓을 참조하게 됩니다. 이때 커널 메모리 영역이 자유화된 뒤 재사용되어 use‑after‑free 가 발생하고, 공격자는 로컬 권한으로 임의 코드를 실행하거나 커널 패닉을 유발할 수 있습니다.

악용 가능성: 해당 취약점은 AV:L(Local)이며, 공격자는 이미 커널에 로컬 접근 권한을 가지고 있어야 합니다. AC:L·PR:L·UI:N 조합으로 보아, 공격 수행에 필요한 복잡도는 낮으며, 추가적인 사용자 개입 없이도 루트 권한이 요구되는 상황에서 실행될 수 있습니다. 실제로는 Rose 소켓 타이머가 스핀락만 획득하고 소켓 소유자를 확인하지 않아, 동일 호스트 내의 악성 로컬 프로세스가 해당 타이머 구조체를 재사용·조작해 Use‑After‑Free 상태를 유발할 수 있습니다. EPSS = 0.00163이라는 값은 전체 취약점 풀 대비 실제 공격 가능성이 매우 낮지만, KEV에 등재되지 않은 점은 아직까지 대규모 악용 사례가 보고되지 않았음을 의미합니다. 그러나 공격 표면은 Linux 커널 네트워크 스택(특히 net/rose 모듈)과 타이머 콜백 경로에 노출된 엔드포인트·파라미터이며, 해당 모듈을 로드한 시스템이면 언제든지 내부 프로세스가 트리거할 수 있습니다. 따라서 난이도는 “hard”로 평가되지만, 로컬 권한을 가진 악성 코드가 존재한다면 실제 이용 가능성은 충분히 존재합니다.

• 성공적인 익스플로잇 시 로컬 시스템에서 루트 권한 획득이 가능해집니다.
• 커널 메모리 손상으로 인해 서비스 중단·시스템 크래시가 발생할 위험이 존재합니다.
• 영향을 받는 커널 버전(2.6.12‑6.13.2) 범위가 넓어, 다양한 배포판 및 클라우드 인프라에 광범위하게 퍼질 수 있습니다.

• 동일한 메모리 관리 오류를 이용하는 다른 커널 UAF(CWE‑119)와 연계될 경우, privilege escalation 체인이 완성됩니다.
• ROSE 모듈을 로드한 상태에서 module loading bypass 기법과 결합하면 패치가 적용되지 않은 커널에서도 지속적인 공격이 가능합니다.

• 커널 로그(예: /var/log/kern.log, dmesg) 에 KASAN: slab-use-after-free 와 rose_timer.c 라인이 함께 기록됩니다.
  • SIEM 쿼리 예시 (Elastic Search/Kibana)

 1source:"/var/log/kern.log" AND message:*KASAN*AND*slab-use-after-free*AND*rose_timer.c*

• eBPF 트레이스를 이용해 timer_set_* 함수 호출 시 스택에 rose_timer_expiry 가 포함되는 경우 경보 생성.
  • 의사코드 예시

 1if (func == "timer_set_*" && stack_contains("rose_timer_expiry")) {
 2    alert("Suspicious ROSE timer rearm detected");
 3}

• auditd 규칙으로 net/rose 모듈 로드 이벤트 감시 (type=MODULE_LOAD name=rose).

오탐 튜닝

• 정상적인 시스템 부팅 시 초기 타이머 설정 로그가 발생할 수 있으므로, “연속 5회 이상 동일 프로세스에서 짧은 간격(≤1s)으로 재설정”을 조건에 추가하면 오탐을 감소시킵니다.

• 즉시(긴급 차단)
  • modprobe.d/blacklist-rose.conf 파일을 생성하고 install rose /bin/true 로 설정해 ROSE 모듈 로드를 차단합니다.
  • 적용 후 rmmod rose 로 현재 로드된 모듈을 언로드합니다.
  • 구현 난이도: 매우 낮음, 운영 영향: ROSE 프로토콜을 사용하는 서비스가 있다면 해당 서비스 중단 가능성 존재.
• 단기(완화)
  • 커널에 KASAN 혹은 CONFIG_DEBUG_SLAB 를 활성화해 메모리 오류를 조기에 탐지하고, 비정상적인 타이머 재설정을 실시간으로 로그에 남깁니다.
  • SELinux/AppArmor 정책을 강화하여 일반 사용자 계정의 모듈 로드 권한을 차단합니다.
  • 구현 난이도: 중간(재부팅 필요), 운영 영향: 디버그 옵션 활성화 시 성능 저하(5‑10% 정도) 발생 가능.
• 근본(해결)
  • 커널 버전을 6.13.x 이상 또는 해당 패치가 포함된 최신 LTS 릴리즈로 업그레이드합니다.
  • 배포판이 제공하는 보안 업데이트가 없을 경우, upstream 커밋 net: rose: fix timer races against user threads 를 백포트하여 직접 적용하고 재부팅합니다.
  • 구현 난이도: 높음(패치 빌드·테스트·배포 필요), 운영 영향: 시스템 재시작 및 잠재적 호환성 검증 필요.

검증 방법

• 긴급 차단 후 lsmod | grep rose 로 모듈 비로드 확인.
• 단기 완화 적용 시 KASAN 로그에 slab-use-after-free 가 더 이상 나타나지 않는지 확인.
• 근본 패치 적용 후 uname -r 로 버전 확인 및 동일 취약점 재현 테스트(예: kselftest) 수행.

위 조치를 순차적으로 진행하면 이번 주 내에 위험을 크게 낮출 수 있으며, 패치 적용 전까지는 ROSE 모듈 차단이 가장 확실한 임시 방어책이 됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00163 · exploit=hard · in_scope=None