[공격] 분석 — CVE-2026-23457

• 심각도 high · CVSS 8.6 · EPSS 0.00433 · 악용난이도 moderate

본 취약점은 64-bit 시스템의 Linux 커널 내 netfilter 모듈에서 발생하는 Integer Truncation 결함이다.

• 공격 표면 (Attack Surface):

  • 프로토콜: SIP (Session Initiation Protocol) over TCP.
  • 대상 함수: sip_help_tcp() 및 내부의 simple_strtoul().
  • 트리거 파라미터: SIP 헤더 내 Content-Length 필드 값.

• 공격 원리 (Trigger Condition):

  1. 공격자가 UINT_MAX (2^32 - 1)를 초과하는 매우 큰 값을 Content-Length 헤더에 삽입하여 전송한다.
  2. simple_strtoul()은 unsigned long(64-bit)을 반환하지만, 이를 저장하는 변수 clen이 unsigned int(32-bit)로 선언되어 상위 비트가 절단(Truncation)된다.
  3. 예: Content-Length: 4294967328 (2^32 + 32) $\rightarrow$ clen에는 32만 저장됨.
  4. 커널은 실제 페이로드보다 훨씬 짧은 지점을 메시지 경계로 오인하며, 남은 데이터(Trailing data)를 새로운 SIP 메시지로 인식하여 SDP 파서로 전달한다.

• 공격 체인 및 전제 조건:

  • 정찰 $\rightarrow$ 초기 접근: 대상 서버가 nf_conntrack_sip 헬퍼 모듈을 활성화한 상태여야 하며, 외부에서 SIP TCP 포트로 접근 가능해야 함 (AV:N/AC:L/PR:N/UI:N).
  • 실행 $\rightarrow$ 영향: 조작된 Content-Length를 통해 파서의 상태 머신을 교란하고, 후속 데이터가 SDP 파서에서 비정상적으로 처리되게 함으로써 커널 패닉(DoS) 또는 추정: 힙 오버플로우/메모리 손상을 유도한다.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 TCP 패킷을 전송하는 것만으로 트리거할 수 있어 접근성이 매우 높습니다. 공격 표면은 Linux 커널의 netfilter 모듈 내 nf_conntrack_sip 헬퍼이며, 특히 SIP 프로토콜의 Content-Length 헤더 파라미터가 핵심 타겟입니다. 64비트 시스템에서 unsigned long 값을 u32(unsigned int)로 저장할 때 발생하는 정수 절삭(Integer Truncation) 원리를 이용해, 의도적으로 $2^{32}$ 이상의 값을 주입함으로써 커널의 메시지 경계 계산을 왜곡시킬 수 있습니다. 이 과정에서 파서가 잔여 데이터를 새로운 SIP 메시지로 오인하여 SDP 파서로 전달하게 만드는 것이 핵심 공격 경로입니다. EPSS 수치가 0.00433으로 낮고 KEV에 등재되지 않은 점은 현재까지 대규모 자동화 공격 도구(Weaponized Exploit)가 보급되지 않았음을 의미하지만, 이론적 난이도가 낮아 타겟팅 공격 시 충분히 악용 가능합니다. 결과적으로 이 결함은 단독으로 완전한 RCE를 일으키기보다, 메모리 오염이나 커널 패닉을 유도하는 다른 취약점과 체이닝되어 권한 상승이나 서비스 거부(DoS)로 이어질 가능성이 큽니다.

• 가용성 침해 (High): 잘못된 메모리 참조나 무한 루프 등으로 인한 Kernel Panic 및 시스템 Crash 가능성이 매우 높음.
• 무결성/기밀성 침해 (Low): 커널 메모리 오염을 통해 임의 코드 실행(RCE)으로 이어질 가능성이 있으나, 현대 커널의 보호 기법(KASLR 등)으로 인해 난이도가 높음.

• 취약점 유형: Integer Truncation $\rightarrow$ Logic Error $\rightarrow$ Memory Corruption (추정).
• 잠재적 체이닝 경로:
  1. 경계 우회 $\rightarrow$ 메모리 오염: Content-Length 절단으로 인해 파서가 예상치 못한 지점에서 데이터를 읽기 시작하며, 이를 통해 SDP 파서 내의 다른 버퍼 오버플로우 취약점을 트리거하는 체이닝 가능성 (추정).
  2. DoS $\rightarrow$ 서비스 마비: 단일 패킷만으로 커널 크래시를 유발하여 인프라 전체의 가용성을 즉각적으로 제거하는 단순 체인.
• 방어 우회 지점: 네트워크 레벨의 일반적인 SIP 방화벽은 Content-Length 값의 논리적 타당성(실제 TCP 페이로드 크기와의 일치 여부)을 검증하지 않을 경우 그대로 통과시킨다.

• 패킷 분석: TCP 세그먼트 내 SIP 헤더의 Content-Length 값이 비정상적으로 크거나(> 4,294,967,295), 실제 전송된 데이터 길이와 현저히 차이 나는 패턴을 모니터링.
• 커널 로그: nf_conntrack 관련 메모리 오류나 SIP 파싱 중 발생하는 Kernel Oops/Panic 로그 확인.

• 근본 해결: 영향받는 커널 버전(2.6.34 ~ 6.19.10 등 광범위함)을 최신 보안 패치가 적용된 버전으로 업데이트. (clen 타입을 unsigned long으로 변경하고 페이로드 길이 검증 로직 추가 필요)
• 즉시 조치: 불필요한 경우 nf_conntrack_sip 모듈을 언로드하거나, 방화벽에서 신뢰할 수 없는 소스로부터의 SIP TCP 트래픽을 차단.

분석 근거 및 우선순위 결정:
본 리포트는 다중 소스 데이터 간 일관성이 확인된(신뢰도 1.0) 분석 결과입니다. CVSS 점수는 8.6으로 높으나, 실측 악용 예측치인 EPSS는 0.00433(백분위 0.35635)으로 moderate 등급입니다. 이는 이론적 심각도는 매우 높지만 실제 야생에서의 악용 사례는 아직 적음을 뜻합니다. 따라서 KEV 미등재 및 낮은 EPSS 수치를 반영하여 '이번 주 내' 처리를 권고하는 scheduled 우선순위로 결정되었습니다. 다만, 영향받는 제품 버전이 8개 그룹에 걸쳐 매우 광범위하므로 공급망 관점의 잠재적 위험도가 높습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.6 · non-KEV · EPSS=0.00433 · exploit=moderate · in_scope=None