CVE-2026-31427DGX_B· 2026년 8월 2일 AM 02:32

[방어] 분석 — CVE-2026-31427

CVE-2026-31427 allows a local attacker to corrupt SDP session addresses via an uninitialized rtp_addr in nf_conntrack_sip, leading to denial‑of‑service; the highest‑priority mitigation is to disable the SIP conntrack helper immediately.

📋 요약

심각도 medium · CVSS 5.5 · EPSS 0.0012 · 악용난이도 hard

🔍 공격 기법

nf_conntrack_sip 모듈의 process_sdp() 함수가 SDP 본문을 파싱할 때 미디어 라인이 없거나 인식되지 않으면 스택에 남은 값으로 rtp_addr를 초기화하지 않습니다. 이후 hooks->sdp_session(&rtp_addr) 호출이 이루어져, 커널 내부에서 0.0.0.0(또는 임의 메모리값)으로 세션 주소가 재작성됩니다. 로컬 사용자가 SIP 패킷을 전송하거나 악성 SDP를 포함한 트래픽을 발생시키면, 해당 세션은 주소가 잘못 지정되어 통신이 차단되고 서비스 가용성이 크게 저하됩니다.

악용 가능성: 해당 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로, 공격자는 로컬에서 권한이 제한된 계정으로도 특별한 사용자 입력 없이 바로 악용할 수 있음을 의미합니다. 로컬 접근만 요구하고 복잡한 인증 절차가 없으며, 사용자가 별도의 행동을 취하지 않아도 되므로 공격 난이도는 낮다고 판단됩니다. 하지만 EPSS 값이 0.0012 로 매우 낮고 KEV에 등재되지 않은 점은 현재 실무 환경에서 실제 악용 사례가 거의 보고되지 않았음을 보여줍니다. 따라서 이론적인 위험성은 존재하나, 현실에서는 공격자가 취약한 커널을 실행 중인 시스템에 물리적 또는 관리 권한을 확보해야 하는 전제조건이 남아 있습니다. 공격 표면은 SIP 트래픽을 처리하는 netfilter 모듈의 SDP 파싱 경로이며, 특히 SDP 본문에 m= 라인이 없거나 비활성 미디어만 포함된 경우에 한정됩니다. 즉, 외부에서 직접적인 네트워크 입력으로는 트리거되지 않으며, 로컬 프로세스가 조작한 악의적 SIP/SDP 패킷을 전달해야 합니다. 이러한 제한적인 트리거 조건 때문에 실제 공격 가능성은 낮지만, 권한이 있는 내부 사용자가 악용할 경우 세션 주소 변조를 통해 통신 흐름을 탈취하거나 서비스 거부가 발생할 수 있습니다.

💥 영향 분석

가용성(A): 재작성된 0.0.0.0 주소 때문에 SIP/SDP 세션이 정상적으로 연결되지 않아 VoIP 게이트웨이, SBC 등에서 통화가 끊기고 서비스 거부(DoS)가 발생합니다.
보안 확대 가능성: 비활성 SDP 세션을 이용해 내부 트래픽 흐름을 조작하면 공격자는 추가적인 SIP 메시지 변조·세션 하이재킹 시도를 할 수 있습니다. (추정: 커널 로그에 남는 오류가 없으므로 탐지가 어려울 수 있음)

🔗 관련 취약점·체이닝

동일 모듈(nf_conntrack_sip)에서 과거에 보고된 SDP 파싱 버퍼 오버플로와 결합될 경우, 메모리 손상 후 권한 상승(LPE)으로 이어질 가능성이 있습니다.
다른 netfilter 헬퍼(예: nf_conntrack_ftp, nf_conntrack_tftp)에서도 초기화 누락이 보고된 바 있어, 동일 패턴의 코드 검토가 필요합니다.

🔎 탐지

커널 감사 로그 – auditd에 다음 규칙을 추가하여 SIP 헬퍼 이벤트를 기록합니다.
text
```
 1-w /proc/net/nf_conntrack_helper -p wa -k nf_conntrack_sip
```
로그 필드: msgtype=CONFIG_CHANGE, subj_type=netfilter_helper, obj= sip, result=success 등
SDP 주소 변조 시그니처 – SIP 프록시 혹은 IDS/IPS에서 SDP 본문에 c=IN IP4 0\.0\.0\.0 패턴을 탐지합니다.
text
```
 1^c=IN\s+IP4\s+0\.0\.0\.0$
```

SIEM 쿼리 예시 (Splunk)

text

 1index=network sourcetype=sip 
 2| regex sip_body="c=IN IP4 0\.0\.0\.0"
 3| stats count by src_ip, dst_ip, call_id
 4| where count > 5

오탐 튜닝

테스트 환경에서 0.0.0.0을 사용해 보류 중인 세션이 있을 수 있으므로, src_ip가 내부 관리망(IP 범위 10.0.0.0/8 등)이고 call_id가 정상적인 SIP 대화에 포함되지 않은 경우만 알림으로 제한합니다.

🛡️ 완화 방안

단계	조치 내용	구현 난이도	운영 영향	검증 방법
즉시(긴급 차단)	`iptables` RAW 테이블에 SIP 포트(5060/5061) 트래픽을 NOTRACK 처리하여 nf_conntrack_sip 헬퍼를 비활성화한다. <br>`iptables -t raw -A PREROUTING -p udp --dport 5060 -j NOTRACK`<br>`iptables -t raw -A PREROUTING -p tcp --dport 5060 -j NOTRACK`	중	SIP NAT/ALG 기능이 일시적으로 비활성화되어 통화 설정 시 추가 포트 매핑이 필요할 수 있음(대체 포트 사용 권고).	`conntrack -L
단기(완화)	커널 파라미터 `net.netfilter.nf_conntrack_helper=0` 로 모든 conntrack 헬퍼 비활성화하거나, `/sys/module/nf_conntrack_sip/parameters/enable` (존재 시) 를 0 으로 설정한다. <br>`sysctl -w net.netfilter.nf_conntrack_helper=0`	낮음‑중간	전체 conntrack 헬퍼가 차단되므로 FTP, TFTP 등 다른 프로토콜의 자동 포트 매핑도 중단될 수 있다. 필요 시 개별 헬퍼만 재활성화한다.	`sysctl -a
근본(해결)	취약점이 포함된 커널 버전을 배포판 보안 업데이트 또는 자체 컴파일 커널로 교체한다.<br>예: Ubuntu 22.04 LTS → `linux-image-6.5.0-XX-generic` (패치 적용) <br>Red Hat 9 → `kernel-6.4.13-200.el9` 등	높음(재부팅 필요)	커널 교체 시 서비스 중단이 발생하므로 유지보수 창에 진행 권고. 기존 모듈 호환성 검증 필요.	`uname -r` 로 버전 확인 후, 해당 커밋(`netfilter: nf_conntrack_sip: pre‑initialize rtp_addr`) 포함 여부를 `git log -p` 로 검증. 취약점 재현 테스트(비활성 SDP에 대해 0.0.0.0이 생성되지 않는지) 수행.

잔여 리스크 – 즉시 차단 및 단기 조치만 적용한 경우, 다른 netfilter 헬퍼가 유사한 초기화 결함을 가지고 있을 가능성이 남아 있습니다. 따라서 근본 패치를 적용하기 전까지는 정기적인 로그 모니터링과 비정상 SDP 재작성 탐지를 유지하는 것이 필요합니다.
인시던트 대응 플레이북 –
1. 알림 수신 시 해당 SIP 트래픽의 src_ip·dst_ip 확인 → 내부 사용자인지 외부 공격인지 판단.
2. c=IN IP4 0.0.0.0 로그가 연속 발생하면 즉시 RAW 테이블 NOTRACK 규칙 적용 여부를 검증하고, 필요 시 즉시 추가 차단(rule 추가).
3. 영향 받은 세션을 재설정하고, 서비스 복구 후 근본 패치 일정 수립.

위 조치를 순차적으로 적용하면 CVE-2026-31427에 대한 탐지와 완화가 효과적으로 이루어집니다.

⚖️ 위험도 / 우선순위

조치: monitor (모니터링)
근거: CVSS=5.5 · non-KEV · EPSS=0.0012 · exploit=hard · in_scope=None