[분석가] 분석 — CVE-2026-22992

• 심각도 high · CVSS 7.5 · EPSS 0.00275 · 악용난이도 moderate

공격자는 libceph 모듈의 인증 과정에서 의도적으로 오류를 유발하여 취약점을 촉발합니다.

1. 오류 전파 누락: ceph_auth_handle_reply_done()에서 발생한 에러가 finish_auth()를 통해 전달되지만, 최종적으로 mon_handle_auth_done()에서 이를 반환하지 않는 논리적 결함이 존재합니다.
2. 상태 불일치: 상위 계층은 인증 실패로 인지하여 반응하지만, 내부 msgr2는 세션 구축을 계속 시도하는 상태 불일치가 발생합니다.
3. Crash 유발: Secure mode 환경에서 setup_crypto() 내 WARN이 발생하며, 이후 prepare_auth_signature() 함수 내에서 NULL pointer dereference가 발생하여 커널 패닉으로 이어집니다.

악용 가능성: 본 취약점은 Linux kernel의 libceph 모듈 내 인증 처리 과정에서 발생하는 오류 전파 누락으로 인해, 특정 조건에서 NULL pointer dereference를 유발하는 결함입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 네트워크 상의 비인증 공격자가 특수하게 조작된 패킷을 송신함으로써 원격으로 트리거할 수 있는 낮은 공격 난이도를 가집니다. 주요 공격 표면은 Ceph 모니터(mon)와 통신하는 msgr2 프로토콜 엔드포인트이며, 특히 Secure mode 설정 시 인증 단계의 오류가 세션 설정 과정으로 전이되는 지점이 핵심 트리거 포인트입니다. 다만, EPSS 수치가 0.00275로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 미관측되었음을 시사합니다. 결과적으로 이론적인 공격 진입 장벽은 낮으나, 특정 스토리지 구성 및 프로토콜 상태가 일치해야 하므로 실질적인 악용 가능성은 Moderate 수준으로 판단됩니다.

• 기술적 위험: 본 취약점은 원격 네트워크를 통해 트리거 가능(AV:N)하며, 최종적으로 시스템의 가용성을 완전히 상실시키는 Denial of Service(DoS)를 유발합니다. CVSS 벡터(A:H)가 명시하듯 데이터 유출이나 권한 상승보다는 시스템 중단에 초점이 맞춰져 있습니다.
• 비즈니스 리스크:
  • 가용성 저해: Linux 커널의 광범위한 버전(5.11 ~ 6.18.6 등)이 영향을 받으며, 특히 Ceph 스토리지 클러스터를 사용하는 인프라에서 커널 패닉 발생 시 스토리지 서비스 중단 및 이에 의존하는 애플리케이션의 연쇄 장애가 발생할 수 있습니다.
  • 노출 규모: 영향 제품 범위가 매우 넓어(8개 이상의 메이저/마이너 버전군), 공급망 관점에서 대규모 인프라 환경에 노출되었을 가능성이 큽니다.

• 패턴 연계: 인증 단계의 상태 관리 미흡으로 인한 NULL pointer dereference 패턴입니다. 추정: 단독으로는 DoS에 그치지만, 다른 커널 메모리 오염 취약점과 체이닝될 경우 시스템 제어권 획득 시도로 이어질 가능성을 배제할 수 없습니다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 setup_crypto()와 관련된 WARN 메시지 및 prepare_auth_signature() 지점에서의 Kernel Oops/Panic 로그를 확인합니다.
• 네트워크 패턴: Ceph Monitor(mon)와 클라이언트 간의 인증 패킷 교환 과정에서 비정상적인 응답이나 반복적인 인증 실패 시도가 발생하는지 모니터링합니다.

• 근본 해결: 영향 범위에 포함된 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 mon_handle_auth_done()의 에러 반환 로직을 수정합니다.
• 즉시 조치: 패치 적용 전까지 Ceph Monitor로의 접근 제어 목록(ACL)을 강화하여 신뢰할 수 없는 네트워크로부터의 인증 요청을 차단합니다.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석함.
• EPSS 및 우선순위: EPSS 실측값 0.00275(백분위 0.1964)로 실제 야생 악용 가능성은 현재 낮은 수준(moderate)이나, CVSS 7.5의 심각도와 광범위한 영향 제품 범위를 고려하여 규칙 기반 우선순위를 scheduled(이번 주 내 대응)로 결정함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00275 · exploit=moderate · in_scope=None