[분석가] 분석 — CVE-2026-31448

• 심각도 critical · CVSS 9.4 · EPSS 0.00443 · 악용난이도 moderate

• mkdir·mknod 과정에서 새로운 extent 삽입이 실패하면 ext4_ext_map_blocks()가 물리 블록만 해제하고 extent 트리를 정리하지 않음.
• 이후 디렉터리와 xattr 가 동일한 버퍼 헤드 블록을 동시에 참조하게 되어 ext4_xattr_block_set()이 무한 루프에 빠짐.
• 이 루프는 inode 락을 해제하지 못하고 시스템 호출(예: mkdir)이 수십 초 이상 차단되는 DoS 상태를 야기함.

악용 가능성: 이 취약점은 네트워크를 통한 원격 공격(AV:N)이 가능하고, 공격자는 추가 권한 없이 바로 이용할 수 있어(PR:N) 난이도가 낮습니다. 복잡도는 낮게 평가되며(AC:L) 특별한 사전 지식이나 특수 도구가 없어도 익스플로잇을 실행할 수 있습니다. EPSS 0.00443은 약 0.44%의 실측 악용 확률을 의미하고, KEV에 등재되지 않아 현재까지 대규모 야생 공격 사례는 보고되지 않았지만 위험성을 배제하지 못합니다. 트리거 조건은 ext4 파일시스템에서 디렉터리 생성(mkdir) 또는 특수 노드 생성(mknod) 시 논리 블록을 물리 블록에 매핑하는 과정이며, ext4가 마운트된 모든 Linux 커널이 공격 표면입니다. 특히 NFS·Samba

• 기술적 위험

  • 서비스 거부(DoS): 해당 파일시스템에서 디렉터리·파일 생성이 멈추어 전체 파일시스템 접근이 불가능해짐.
  • 메타데이터 손상 가능성: 루프 도중 잘못된 블록 해제로 EXT4_GET_BLOCKS_DELALLOC_RESERVE 플래그가 사용될 경우 할당량(quota) 정보가 오염될 수 있음.
  • 커널 패닉 위험(추정): 심각한 메타데이터 손상이 누적되면 커널 Oops·패닉으로 이어질 가능성이 있으며, NFS·CIFS 등 원격 마운트 서버에서 서비스 전체가 다운될 위험이 존재함.

• 비즈니스 영향

  • 가용성 손실: 파일시스템 접근 불가로 애플리케이션·서비스 중단, 복구에 소요되는 시간에 따라 SLA 위반 가능.
  • 규제/컴플라이언스: 서비스 중단이 데이터 무결성 보증 요구사항을 충족하지 못할 경우 감사 지적 대상.
  • 신뢰도 저하: 장기간 장애 시 고객·파트너 신뢰 손상.

• 영향 제품·노출 규모

  • Linux kernel 2.6.22.1 ~ 6.1.168, 6.2 ~ 6.6.131, 6.7 ~ 6.12.80, 6.13 ~ 6.18.21, 6.19 ~ 6.19.11 등 광범위한 커널 버전이 취약함(다중 소스에서 일관성이 확인됨).
  • 해당 커널을 사용하는 모든 Linux 기반 서버·디바이스가 잠재적 노출 대상.

• ext4 파일시스템의 extent 트리 관리 오류와 연계된 이전 DoS/데이터 손상 취약점(예: 과거 ext4 메타데이터 손상 버그)과 유사한 공격 경로를 가질 수 있음.
• 현재 알려진 직접적인 체이닝 CVE는 없으며, 이 결함 자체가 독립적으로 서비스 거부를 일으키는 주요 원인임.

• auditd 또는 커널 로깅에서 다음 이벤트 관찰:
  • EXT4_ALLOC_DA_ALLOC_FAIL 혹은 ext4_xattr_block_set 관련 오류 메시지.
  • 동일 inode에 대한 연속적인 mkdir/mknod 호출이 일정 시간(>30 s) 이상 지연되는 경우.
• dmesg·syslog에 “blocked for 143 seconds”와 유사한 장시간 락 메시지가 기록될 때 경보 트리거.

• 즉시: 배포된 최신 커널 패치를 적용하고, 시스템 재부팅을 통해 업데이트된 ext4 코드를 활성화.
• 임시: 가능하면 영향을 받는 파일시스템을 읽기 전용으로 마운트하거나, 문제 발생 시 빠르게 언마운트·재마운트하여 서비스 복구.
• 설정 관리: nodelalloc 옵션을 비활성화(= 기본값 유지) 상태로 두어 해당 루프가 형성되는 상황을 최소화하고, 할당량(quota) 기능 사용 시 일관성을 검증.
• 모니터링: 위 탐지 지표를 기반으로 자동 알림·재마운트 차단 정책을 구축하고, 정기적인 커널 버전 점검 절차에 해당 CVE 패치 적용 여부를 포함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.4 · non-KEV · EPSS=0.00443 · exploit=moderate · in_scope=None