[분석가] 분석 — CVE-2026-31431

• 심각도 high · CVSS 7.8 · EPSS 0.94545 · 악용난이도 easy · KEV

저권한 로컬 사용자가 AF_ALG 소켓을 이용해 AEAD ioctl 요청을 전송하면, algif_aead 모듈의 out‑of‑place 복사 로직에서 메모리 손상이 발생합니다. 이 손상을 활용해 커널 권한을 상승시키고 최종적으로 루트 권한을 획득합니다. CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 따라 추가 전제가 필요 없으며, EPSS 0.94545와 KEV 등재로 실제 악용이 쉬운 것으로 판단됩니다.

악용 가능성: 이 취약점은 AV:L (로컬 접근)·AC:L (낮은 복잡도)·PR:L (저권한)·UI:N (사용자 개입 없음)이라는 CVSS 벡터가 의미하듯, 로컬 시스템에 제한된 권한만 있으면 특별한 사전 지식 없이도 악용이 가능합니다. EPSS 값이 0.94545 로 매우 높고 KEV 리스트에 등재돼 있어 실제 공격이 관측되고 있는 점을 고려하면, 이론적 심각도와 별개로 실질적인 위협 수준이 높은 편입니다. 트리거 조건은 취약한 Linux 커널의 crypto: algif_aead 구현을 이용해 암호화·복호화 작업을 수행하는 과정이며, 해당 API는 일반 사용자 권한에서도 접근 가능한 /dev/crypto 와 같은 장치 파일을 통해 호출될 수 있습니다. 공격 표면은 algif_aead 핸들러가 노출되는 ioctl 인터페이스 및 관련 파라미터(예: 연관 데이터 복사)이며, 이러한 엔드포인트는 로컬 프로세스가 자유롭게 사용할 수 있습니다. 따라서 로컬에서 악성 코드를 실행할 수 있는 환경이 확보되면, 별도의 권한 상승 없이도 커널 수준의 메모리 손상을 일으켜 서비스 거부 또는 권한 상승으로 이어질 위험이 존재합니다. 이러한 조건을 모두 만족하면 공격 난이도는 “easy”로 평가된 것이 합당합니다.

• 기술적 위험: 성공 시 기밀성·무결성·가용성 모두 C:H/I:H/A:H 수준으로 손상되어 커널 전체를 장악하고, 데이터 유출·시스템 변조·서비스 중단 및 추가 악성 코드 설치가 가능해집니다.
• 영향 제품: Linux kernel 4.14‑5.10.254, 5.11‑5.15.204, 5.16‑6.1.170, 6.2‑6.6.137, 6.7‑6.12.85, 6.13‑6.18.22, 6.19‑6.19.12 및 해당 라인 전체 버전에서 취약합니다.
• 노출 규모: 위 커널을 사용하는 물리 서버·가상 머신·컨테이너 모두가 동일한 공격 표면에 노출됩니다. 다중 릴리즈에 걸친 공급망 특성으로 인해 조직 전반에 광범위하게 영향을 미칠 가능성이 높습니다.
• 비즈니스 리스크: 루트 권한 탈취는 개인정보보호법·PCI‑DSS 등 규제 위반 위험을 증가시키고, 서비스 가용성 손실 및 고객 신뢰도 하락으로 인한 금전적·이미지 손해가 발생할 수 있습니다.

algif_aead와 유사하게 crypto 사용자 API에서 메모리 복사 오류가 보고된 전례가 있으며, 이러한 로컬 권한 상승을 기반으로 네트워크 스택 취약점이나 서비스 탈취 취약점과 연계될 경우 원격 코드 실행까지 확장될 수 있습니다.

• auditd: /dev/crypto 또는 AF_ALG 소켓에 대한 ioctl 호출을 로깅하는 규칙(auditctl -a exit,always -S ioctl -F path=/dev/crypto)을 적용합니다.
• eBPF/bpftrace: af_alg_aead_ioctl 함수 진입 시 파라미터 길이와 포인터 값을 검사해 비정상적인 복사 요청을 실시간 캡처합니다.
• 커널 로그: 패치 전후 “algif_aead” 관련 OOPS/BUG 메시지가 발생하면 경보 대상으로 삼습니다.
• 권한 상승 이벤트: setuid(0) 혹은 루트 전용 바이너리 실행 직전·직후에 위 ioctl 로그가 함께 기록되는 경우 SIEM 연동 알림을 설정합니다.

1. 즉시 조치
   • 배포판 공급업체가 제공하는 최신 커널 패치를 즉시 적용합니다(패치 버전은 각 배포판의 보안 공지를 참고).
   • CONFIG_CRYPTO_USER_API_AEAD 옵션이 서비스에 필요하지 않다면 비활성화하고, 해당 모듈 로드를 차단합니다.
2. 공격 표면 감소
   • /dev/crypto와 AF_ALG 소켓 접근 권한을 루트 또는 최소 권한 계정으로 제한합니다.
   • 컨테이너·VM 환경에서 동일 커널을 공유하는 워크로드를 식별하고, 우선 순위에 따라 패치를 배포합니다.
3. 탐지 및 대응 강화
   • 위 auditd·eBPF 규칙을 운영 환경에 적용하고, 이상 호출 발생 시 실시간 알림을 연동합니다.
   • 권한 상승 후 의심스러운 ioctl 호출을 추가 모니터링해 로그 삭제 가능성을 최소화합니다.
4. 장기 방어
   • 정기적인 커널 이미지 무결성 검사와 최신 업데이트 적용 프로세스를 구축합니다.
   • 최소 권한 원칙을 적용하고, 관리자 계정 관리·감사 로그 정책을 지속적으로 검토합니다.

우선순위 근거: CVSS 7.8 · KEV 등재 · EPSS 0.94545(실측 악용 가능성 99.8 percentile) · exploit = easy 로 판단하여 “immediate (24 시간 내)” 대응이 권고됩니다. 다중 소스 교차검증 결과 일관된 고위험 평가가 확인되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=0.94545 · exploit=easy · in_scope=None