[방어] 분석 — CVE-2025-71079

• 심각도 medium · CVSS 5.5 · EPSS 0.00089 · 악용난이도 hard

본 취약점은 device_lock과 rfkill_global_mutex 사이의 Lock 획득 순서가 뒤바뀐 Lock Ordering Inversion(ABBA Deadlock) 구조를 가집니다.

1. Thread A: rfkill_fop_write() $\rightarrow$ rfkill_global_mutex 점유 $\rightarrow$ device_lock 요청 (대기)
2. Thread B: nfc_unregister_device() $\rightarrow$ device_lock 점유 $\rightarrow$ rfkill_global_mutex 요청 (대기)
   두 스레드가 서로가 가진 Lock을 기다리며 무한 대기 상태에 빠지게 됩니다. 공격자는 로컬 권한(PR:L)을 이용해 NFC 장치의 등록 해제와 RF-Kill 상태 변경을 동시에 유도하여 시스템 커널의 교착 상태를 촉발할 수 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터 상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인한 권한을 가진 로컬 사용자의 상태여야 하며, 이는 외부 네트워크를 통한 직접적인 침투가 불가능함을 의미합니다. 트리거 조건은 nfc_unregister_device와 rfkill_fop_write 함수 간의 Lock 순서 역전(ABBA Deadlock)으로, NFC 장치의 등록 해제와 RF-Kill 상태 변경이 정밀한 타이밍에 동시에 발생해야 하는 Race Condition을 전제로 합니다. 공격 표면은 Linux Kernel의 NFC 서브시스템 및 rfkill 인터페이스로 제한되며, 특정 하드웨어 제어 파라미터에 접근 가능한 환경에서만 유효합니다. EPSS 수치가 0.00089로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 심각도와 달리 실제 야생(Wild)에서 이 취약점을 이용한 공격 사례가 거의 없음을 뒷받침합니다. 결과적으로 본 취약점은 원격 코드 실행과 같은 고위험 공격보다는 로컬 권한을 가진 사용자에 의한 서비스 거부(DoS/System Hang) 유발 가능성에 국한됩니다.

• 가용성 상실(DoS): CVSS 벡터 A:H에서 알 수 있듯, 커널 레벨의 Deadlock은 해당 프로세스뿐만 아니라 시스템 전체의 응답 불능 상태나 커널 패닉(Kernel Panic)으로 이어져 서비스 중단을 초래합니다.
• 영향 범위: Linux kernel 4.4.293부터 6.1.160까지 광범위한 버전이 영향을 받으므로, NFC 기능이 활성화된 임베디드 기기나 서버 환경에서 위험도가 높습니다.

• 유형: Race Condition 및 Deadlock 패턴입니다.
• 체이닝: 단독으로는 권한 상승(LPE)이나 정보 유출을 일으키지 않으나, 시스템 가용성을 무너뜨려 다른 보안 메커니즘의 작동을 방해하거나 Watchdog 타이머를 이용한 재부팅 과정에서 다른 취약점을 연계할 가능성이 추정됩니다.

본 취약점은 특정 페이로드가 아닌 '상태'의 충돌이므로 전통적인 IDS/IPS 시그니처보다는 커널 로그와 시스템 메트릭 기반의 탐지가 필요합니다. 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00089 및 exploit=hard 등급으로 인해 실측 악용 가능성은 매우 낮으므로 'Monitor' 수준의 대응을 권고합니다.

• 로그 지표: dmesg 또는 /var/log/kern.log에서 "soft lockup", "hung_task_timeout" 메시지 확인.
• 탐지 규칙 (SIEM 의사코드):
  sql복사

   1SELECT timestamp, hostname, message 
   2FROM kernel_logs 
   3WHERE (message LIKE '%nfc_unregister_device%' OR message LIKE '%rfkill_fop_write%')
   4  AND message LIKE '%INFO: task % blocked for more than 120 seconds%'
   5  AND message LIKE '%Call Trace%'

• 탐지 정규식 (커널 스택 분석용):
  /(nfc_unregister_device|rfkill_fop_write).*?mutex_lock.*?rfkill_global_mutex/s
• 오탐 튜닝: 정상적인 NFC 장치 제거 과정에서 발생하는 일시적 지연과 구분하기 위해, blocked for more than X seconds와 같은 타임아웃 임계값과 함께 반드시 두 함수(nfc_unregister_device, rfkill_fop_write)의 콜 스택이 동시에 관찰되는지 확인해야 합니다.

다중 소스 검증 및 EPSS 수치를 근거로 우선순위는 낮게 결정되었으나, 영향 제품 범위가 넓어 단계적 대응이 필요합니다.

• 즉시 (긴급 차단): NFC 모듈 비활성화(Unload)

  • 방법: modprobe -r nfc 명령어로 커널 모듈을 제거하거나, /etc/modprobe.d/blacklist.conf에 blacklist nfc 추가.
  • 난이도/영향: 매우 낮음 / NFC 기능 사용 불가 (가용성 영향).
  • 검증: lsmod | grep nfc 결과가 없어야 함.

• 단기 (완화): RF-Kill 제어 권한 제한

  • 방법: 일반 사용자 계정이 RF-Kill 설정을 변경하지 못하도록 관련 시스템 권한(udev rule 등)을 조정하여 rfkill_fop_write 진입 경로를 차단.
  • 난이도/영향: 보통 / 일부 사용자의 하드웨어 제어 불편 초래.
  • 검증: 일반 사용자 계정에서 rfkill block 명령 실행 시 Permission Denied 확인.

• 근본 (해결): 커널 업데이트 및 패치 적용

  • 방법: 영향받는 각 버전 라인별로 수정된 최신 커널(예: 6.1.160 이후 버전 등)로 업그레이드. rfkill_unregister() 호출 위치가 device_lock 임계 구역 외부로 이동되었는지 확인.
  • 난이도/영향: 높음 / 시스템 재부팅 필요, 커널 업데이트에 따른 타 모듈 호환성 검토 필요.
  • 검증: 패치된 버전의 커널 릴리즈 노트 확인 및 uname -r로 버전 검증.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00089 · exploit=hard · in_scope=None