[단독분석] 분석 — CVE-2025-21796

• 심각도 critical · CVSS 9.8 · EPSS 0.00625 · 악용난이도 moderate

• 원리: nfsd에서 acl_default 획득 실패 시, 이미 할당된 acl_access와 acl_default를 동시에 해제하지만, acl_access가 해제된 posix_acl 메모리 영역을 여전히 가리키는 포인터를 유지함.
• 경로: 네트워크를 통해 NFS 서버에 접근하여 특정 ACL 관련 요청을 유도함으로써 트리거됨.
• 단계:
  1. 공격자가 NFSv3 등의 프로토콜을 통해 ACL 요청 전송.
  2. 커널 내부에서 acl_default 처리 중 오류 발생 및 메모리 해제 수행.
  3. 해제된 메모리 영역에 대한 유효하지 않은 참조(Use-After-Free)가 발생하며, 이는 refcount_t: underflow 경고와 함께 커널 패닉 또는 임의 코드 실행으로 이어질 수 있음.

악용 가능성: 본 취약점은 Linux kernel의 nfsd 모듈에서 ACL(Access Control List) 처리 중 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 네트워크를 통해 권한 없이 원격에서 트리거할 수 있는 낮은 복잡도를 가지며, NFS 프로토콜의 ACL 관련 엔드포인트 및 파라미터가 주요 공격 표면이 됩니다. 구체적으로는 acl_default 획득 실패 시 acl_access 포인터가 해제된 메모리를 여전히 참조하게 되는 조건에서 트리거됩니다. 다만, EPSS 수치가 0.00625로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 이론적 심각도와 달리 실제 야생에서의 악용 사례가 미관측되었음을 시사합니다. 결과적으로 원격 트리거는 가능하지만, 커널 메모리 구조의 불확실성으로 인해 안정적인 권한 상승이나 코드 실행으로 연결하기에는 기술적 제약이 따르는 상태입니다.

• 기술적 위험: CVSS 9.8 및 Memory-Corruption 유형으로, 공격자가 권한 없이 네트워크를 통해(AV:N/PR:N) 커널 메모리를 오염시킬 수 있음. 성공 시 원격 코드 실행(RCE)을 통한 시스템 전체 권한 장악 또는 커널 패닉으로 인한 서비스 거부(DoS) 상태가 초래됨.
• 비즈니스 리스크:
  • 가용성: NFS 서버 역할을 수행하는 인프라의 갑작스러운 중단으로 인해 연결된 모든 클라이언트의 스토리지 접근 불가 및 업무 마비 가능성.
  • 데이터 무결성/기밀성: 커널 권한 탈취 시 서버 내 저장된 민감 데이터에 대한 무제한 접근 및 유출 위험.
• 노출 규모: Linux Kernel 2.6.13부터 6.13.4까지 광범위한 버전이 영향 범위에 포함되어 있어, 다수의 엔터프라이즈 리눅스 배포판 및 클라우드 환경에서 노출 가능성이 매우 높음.

• 유형: Use-After-Free (UAF) 패턴의 메모리 오염 취약점으로, 다른 커널 메모리 릭(Leak) 취약점과 체이닝될 경우 KASLR 우회 및 공격 성공률을 높이는 데 사용될 수 있음.

• 커널 로그: 시스템 로그(dmesg, /var/log/syslog)에서 refcount_t: underflow; use-after-free 문구와 함께 nfs3svc_release_getacl 또는 refcount_warn_saturate 함수 호출 스택이 포함된 WARNING 메시지 모니터링.
• 네트워크 패턴: 비정상적으로 반복되거나 조작된 NFS ACL 관련 RPC 요청 패킷 분석.

• 근본 해결: 영향받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트(nfsd의 acl_access/acl_default 해제 후 포인터 초기화 로직 반영 버전).
• 즉시 조치:
  • 불필요한 경우 NFS 서버 서비스 중단 또는 외부 접근 제어(ACL/방화벽)를 통해 신뢰할 수 있는 IP만 허용.
  • 커널 업데이트가 즉시 불가능한 경우, 네트워크 레벨에서 NFS 관련 트래픽을 엄격히 제한.

분석 근거 요약: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인하였으며(신뢰도 1.0), 실측 EPSS 값(0.00625, 백분위 0.46517)을 통해 현재 야생에서의 실제 악용 확률은 낮으나 이론적 심각도가 매우 높음을 인지함. 이에 따라 KEV 미등재 및 moderate 등급의 악용 예측에도 불구하고, CVSS 9.8의 치명성과 광범위한 영향 제품 범위를 고려하여 '이번 주 내(scheduled)' 대응하는 우선순위 결정 논리를 적용함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00625 · exploit=moderate · in_scope=None