[분석가] 분석 — CVE-2025-21887

• 심각도 high · CVSS 7.8 · EPSS 0.00185 · 악용난이도 hard

(1) 트리거 조건: OverlayFS 파일 시스템에서 ovl_link_up 함수 실행 중, dput(upper)가 ovl_dentry_update_reval()보다 먼저 호출되어 메모리 참조 카운트가 감소한 상태에서 ovl_dentry_remote()가 해당 객체의 d_flags에 접근할 때 발생합니다.
(2) 공격 단계:

• 정찰/초기접근: 로컬 사용자 권한으로 시스템에 접속 (PR:L).
• 실행 및 권한 획득: OverlayFS의 copy_up 또는 rename 동작을 유도하여 UAF(Use-After-Free)를 트리거하고, 해제된 메모리 영역을 제어하여 커널 권한 상승 시도.
• 영향: 커널 모드에서의 임의 코드 실행 또는 시스템 크래시(DoS).
  (3) 공격 표면: Linux Kernel OverlayFS 모듈 (특히 vfs_rename $\rightarrow$ ovl_rename $\rightarrow$ ovl_copy_up_one 경로).
  (4) CVSS 벡터 연결:
• AV:L / PR:L: 로컬 계정 권한이 있는 공격자가 커널 인터페이스에 직접 접근해야 함.
• AC:L / UI:N: 특별한 사용자 상호작용 없이 특정 파일 시스템 조작만으로 트리거 가능.

악용 가능성: 본 취약점은 Linux kernel의 OverlayFS 모듈 내 ovl_dentry_update_reval 함수에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 시스템에 이미 유효한 계정 권한을 가진 상태에서 로컬 환경에 접근해야만 트리거가 가능합니다. 공격 표면은 OverlayFS 파일 시스템의 dentry 업데이트 과정이며, 특히 ovl_link_up 내에서 dput() 호출 순서 오류로 인해 해제된 메모리에 접근하는 특정 레이스 컨디션이나 정밀한 타이밍 조작이 필요합니다. EPSS 수치가 0.00185로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 커널 패닉 및 권한 상승 가능성에도 불구하고 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 결과적으로 낮은 네트워크 노출도와 까다로운 트리거 조건으로 인해 즉각적인 대규모 악용 가능성은 낮으나, 로컬 권한 상승을 노리는 정밀한 공격자에게는 잠재적 타겟이 될 수 있습니다.

(1) 기술적 위험: Memory-Corruption(UAF) 유형의 결함으로, 성공적인 악용 시 로컬 권한 상승(Local Privilege Escalation, LPE)을 통한 루트 권한 획득 또는 커널 패닉으로 인한 시스템 가용성 상실이 가능합니다.
(2) 비즈니스 영향: 컨테이너 환경(Docker 등 OverlayFS 사용)에서 컨테이너 탈출(Container Escape)의 경로로 이용될 수 있으며, 이는 호스트 시스템 전체의 장악 및 데이터 유출로 이어져 인프라 신뢰성에 심각한 타격을 줍니다.

• 추정: 정보 노출 취약점(KASLR 우회 등)과 체이닝될 경우, UAF를 통한 커널 주소 예측이 용이해져 권한 상승 공격의 성공률이 높아지는 패턴을 보일 수 있습니다.
• 추정: CWE-416(Use-After-Free) 유형 특성상, 메모리 레이아웃 조작(Heap Spraying) 기법과 결합하여 임의 코드 실행으로 이어질 가능성이 높습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 KASAN: slab-use-after-free 메시지와 함께 ovl_dentry_remote 및 ovl_dentry_update_reval 함수 호출 스택이 포함된 덤프 확인.
(2) 탐지 규칙 예시:

• 로직: grep -E "slab-use-after-free.*ovl_dentry_remote" /var/log/kern.log
• SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message LIKE '%slab-use-after-free%' AND (message LIKE '%ovl_dentry_remote%' OR message LIKE '%ovl_link_up%')
  (3) 오탐 시나리오: 커널 디버깅 모드(KASAN 활성화)에서 정상적인 개발/테스트 중 발생하는 메모리 오류. 실제 운영 환경에서는 KASAN이 비활성화되어 있어 로그 기반 탐지가 어려울 수 있으며, 시스템 크래시(Panic) 현상으로 관측될 가능성이 큽니다.

• 즉시(긴급 차단): 불필요한 OverlayFS 마운트 해제 및 일반 사용자의 비정상적인 파일 시스템 조작 제한 (난이도: 하 / 영향: 서비스 가용성 저하 가능 / 검증: mount 명령어 확인).
• 단기(완화): 컨테이너 런타임의 보안 프로필(AppArmor, SELinux)을 강화하여 커널 인터페이스 접근 제어 (난이도: 중 / 영향: 설정 복잡성 증가 / 검증: 정책 적용 후 동작 테스트).
• 근본(해결): 영향을 받는 Linux Kernel 버전을 패치된 최신 버전으로 업데이트. (영향 제품 범위: 5.10.1885.11, 5.15.1215.15.179, 6.1.396.1.130, 6.3.136.4, 6.4.46.6.81, 6.76.12.18, 6.13~6.13.6) (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r 버전 확인).

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. EPSS 수치(0.00185, 백분위 0.08392)는 이론적 심각도(CVSS 7.8)와 별개로 실제 야생에서의 악용 가능성이 현재 매우 낮음을 시사합니다. 이에 따라 KEV 미등재 및 exploit=hard 등급을 반영하여 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00185 · exploit=hard · in_scope=None