[단독분석] 분석 — CVE-2025-21731

• 심각도 high · CVSS 7.8 · EPSS 0.00219 · 악용난이도 hard

본 취약점은 nbd 모듈에서 연결 해제(disconnect) 후 재연결(reconnect)을 허용하는 로직 결함으로 인해 발생하는 Memory-Corruption(UAF)입니다.

1. 참조 획득: 공격자가 nbd_config에 대한 임시 참조를 확보합니다.
2. 연결 해제: nbd_genl_disconnect()가 호출되어 작업 큐를 비우고 초기 참조를 해제하지만, 단계 1의 참조로 인해 실제 객체는 완전히 제거되지 않은 상태가 됩니다.
3. 재설정 유도: nbd_genl_reconfigure()를 통해 recv_work를 다시 큐에 삽입합니다.
4. 참조 해제 및 트리거: 단계 1의 참조가 해제된 후, recv_work가 실행되면서 이미 해제된 nbd_config 메모리에 접근하여 Use-After-Free(UAF)가 발생합니다.

악용 가능성: 본 취약점은 Linux kernel의 nbd(Network Block Device) 모듈에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터(AV:L/AC:L/PR:L/UI:N)에 따라 공격자는 시스템에 대한 로컬 접근 권한과 낮은 수준의 특권(PR:L)을 이미 보유해야 하며, 사용자 상호작용 없이 실행 가능합니다. 공격 표면은 nbd_genl_disconnect와 nbd_genl_reconfigure 같은 Generic Netlink 인터페이스 엔드포인트이며, 특정 순서로 연결 해제 및 재설정 요청을 보내 nbd_config 객체의 참조 횟수 제어를 우회하는 정교한 레이스 컨디션(Race Condition) 트리거가 필요합니다. EPSS 수치는 0.00219로 매우 낮고 KEV에 등재되지 않아 야생에서의 실제 악용 사례는 미관측 상태입니다. 따라서 이론적인 심각도는 높으나, 로컬 권한 확보라는 전제 조건과 커널 메모리 상태를 정밀하게 조작해야 하는 기술적 제약으로 인해 즉각적인 대규모 악용 가능성은 낮다고 판단됩니다.

• 기술적 위험: CVSS 7.8 및 Memory-Corruption 특성상, 성공적인 악용 시 커널 권한에서의 임의 코드 실행을 통한 시스템 전체 장악 또는 커널 패닉으로 인한 서비스 중단(DoS)이 가능합니다.
• 노출 규모 및 비즈니스 리스크: 영향 제품 범위가 Linux Kernel 4.12부터 6.13.2까지 매우 광범위하며, 다중 소스 데이터 교차검증을 통해 일관성이 확인된 만큼 공급망 관점의 잠재적 노출 규모가 매우 큽니다. 이는 인프라 가용성 저해 및 시스템 무결성 파괴로 이어져 기업의 서비스 신뢰도와 컴플라이언스 준수 여부에 심각한 리스크를 초래할 수 있습니다.
• 악용 가능성: 실측 EPSS 값은 0.00219(백분위 0.12527)로 매우 낮으며, KEV 미등재 및 AV:L(로컬 접근 필요), exploit=hard 등급을 고려할 때 야생에서의 즉각적인 악용 가능성은 낮은 것으로 분석됩니다.

• 유형: 커널 내 객체 생명주기 관리 미흡으로 인한 UAF 패턴입니다.
• 체이닝: 로컬 권한을 획득한 공격자가 권한 상승(Privilege Escalation)을 위해 다른 커널 취약점과 체이닝하여 최종적으로 Root 권한을 획득하는 경로로 활용될 수 있습니다.

• 커널 로그: KASAN(Kernel Address Sanitizer)이 활성화된 환경에서 Use-after-free 관련 커널 패닉 및 스택 트레이스 확인.
• 행위 패턴: nbd_genl_disconnect와 nbd_genl_reconfigure가 짧은 간격으로 반복 호출되는 비정상적인 제네릭 넷링크(Generic Netlink) 메시지 흐름 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux Kernel 버전을 최신 보안 패치가 적용된 버전으로 업데이트하십시오. (nbd_genl_disconnect에서 NBD_RT_BOUND 비트를 명확히 제거하여 재설정을 차단하는 패치 적용)
• 즉시 조치: 불필요한 경우 커널 내 nbd 모듈 로드를 제한하거나, 신뢰할 수 없는 사용자의 로컬 접근 권한 및 넷링크 인터페이스 접근을 제어하십시오.
• 우선순위: 규칙 기반 판단에 따라 CVSS 점수는 높으나 실측 악용률(EPSS)이 낮으므로, 이번 주 내(scheduled)로 패치 일정을 수립하여 대응할 것을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00219 · exploit=hard · in_scope=None