[분석가] 분석 — CVE-2026-31469

• 심각도 high · CVSS 7.8 · EPSS 0.00135 · 악용난이도 hard

• virtio_net 드라이버가 napi_tx=N 로 설정되고 네트워크 디바이스에서 IFF_XMIT_DST_RELEASE 플래그가 해제될 때 발생합니다.
• 해당 상황에서 skb 가 전송 링에 오래 머무르며, 네임스페이스가 파괴되면 dst_ops 구조체가 이미 해제된 상태가 됩니다.
• 이후 새로운 패킷 전송 시 free_old_xmit() → dst_release() 호출이 이루어지고, 해제된 dst_ops 를 참조하면서 커널 페이지 오류(Use‑After‑Free)가 발생합니다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 공격자가 로컬 환경에서 낮은 난이도로, 권한이 제한된 일반 사용자 계정만으로도 악용할 수 있음을 의미합니다. 실제로 이 취약점은 virtio_net 드라이버가 napi_tx=N 으로 설정되고 IFF_XMIT_DST_RELEASE 플래그가 해제될 때 발생하므로, 해당 조건을 만족하는 시스템 관리자 또는 컨테이너 운영자가 네트워크 네임스페이스를 삭제하면 UAF가 트리거됩니다. EPSS 값 0.00135은 현재 실증된 악용 가능성이 매우 낮지만, 완전히 무시할 수 없는 수준이며, KEV에 등재되지 않은 점은 아직 공개적인 악성 코드나 공격 캠페인이 보고되지 않았음을 보여줍니다. 트리거 조건은 net_device 구조에서 플래그가 제거된 상태와 napi_tx=N 설정이 동시에 존재해야 하며, 이 두 요소는 일반적인 서버 설정에서는 기본값으로 비활성화되어 있지 않을 경우에만 노출됩니다. 공격 표면은 virtio_net 드라이버가 사용되는 Linux 커널 환경의 네트워크 스택이며, 특히 가상화된 워크로드에서 virtio‑net 인터페이스를 통해 전송 대기 중인 skb 객체가 존재할 때 제한적으로 노출됩니다. 따라서 실제 공격이 성공하려면 로컬 권한을 가진 사용자가 해당 설정을 조작하거나 네트워크 네임스페이스를 의도적으로 파괴해야 하는 상황이 필요합니다. 이러한 조건은 일반적인 운영 환경에서는 드물지만, 특수히 구성된 테스트 혹은 개발 환경에서 발생할 가능성이 존재합니다.

• 기술적 위험: 커널 페이지 폴트에 의해 시스템이 즉시 패닉(panic)하고 재부팅되며, 이는 서비스 중단(Denial‑of‑Service)을 초래합니다.
• 비즈니스 리스크:
  • 가용성 손실 – 서버·컨테이너가 비정상 종료되어 서비스 SLA 위반 가능.
  • 규제·컴플라이언스 위험 – 일부 산업에서는 가용성 장애가 규제 위반으로 간주될 수 있음.
  • 신뢰도 저하 – 반복적인 시스템 크래시가 고객 및 파트너에게 부정적 인상을 남김.
• 영향 제품·노출 규모: Linux 커널 2.6.26‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.168, 6.2‑6.6.131, 6.7‑6.12.80, 6.13‑6.18.21, 6.19‑6.19.11 전 버전에서 모두 영향을 받음[교차검증]. 다중 소스에서 일관성이 확인돼 보수적인 심각도 “high”가 채택되었습니다.

• 추정: 동일 네트워크 드라이버 혹은 다른 가상 NIC에서 발생하는 CWE‑416 Use‑After‑Free 유형의 결함과 연계될 수 있습니다.
• 추정: dst_release() 를 오용한 메모리 손상 취약점(예: 일부 XDP/AF_XDP 구현)과 조합하면 권한 상승이나 추가적인 커널 메모리 변조가 가능할 여지가 있습니다.

• 커널 로그에 “Unable to handle kernel paging request” 와 함께 virtio_net·free_old_xmit() 스택 트레이스가 기록되는 경우.
• OOPS 또는 panic 로그에서 dst_release() 가 호출된 뒤 바로 발생하는 페이지 폴트 메시지를 모니터링.
• 네임스페이스 삭제와 동시에 대량의 skb 전송이 진행 중인 상황을 추적하는 netns 이벤트와 napi_tx=0 설정 여부를 감시.

• 즉시 조치: 해당 커널 버전에 대한 공식 패치를 적용하고, 아직 패치가 제공되지 않은 경우 napi_tx=1 로 강제 전환하거나 virtio_net 드라이버 사용을 일시 중단합니다.
• 근본 해결: 공급업체에서 제공하는 최신 커널(예: 6.19.12 이상)으로 업그레이드하여 skb_dst_drop(skb) 삽입 수정이 포함된 버전을 적용합니다.
• 추가 방어: 네임스페이스 파괴 전 pending skb 를 플러시하도록 스크립트를 도입하고, 시스템 모니터링에 위 탐지 지표를 추가하여 조기 경보 체계를 구축합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00135 · exploit=hard · in_scope=None