[방어] 분석 — CVE-2025-71086

• 심각도 high · CVSS 7.8 · EPSS 0.0012 · 악용난이도 hard

ROSE 네트워크 인터페이스가 ifconfig down 혹은 ip link set <dev> down 으로 내려갈 때 커널 내부의 rose_kill_by_device() 가 호출된다. 함수는 로컬 배열에 소켓 포인터를 수집한 뒤 인덱스를 잘못 사용(array[cnt])해 초기화되지 않은 또는 범위를 초과한 엔트리를 읽는다. 이때 sock_hold() 로 증가된 참조가 해제되지 않아 커널 주소가 누출되고, 공격자는 누출된 포인터를 이용해 임의 메모리 접근 → 권한 상승(Privilege Escalation)까지 이어질 수 있다.

악용 가능성: 이 취약점은 AV:L (로컬)이며, AC:L (낮은 복잡도), PR:L (저권한) 그리고 UI:N (사용자 상호작용 없음)이라는 CVSS 벡터가 의미하듯, 공격자는 해당 호스트에 로컬 접근 권한만 있으면 비교적 간단히 악용할 수 있습니다.
공격을 실행하려면 네트워크 디바이스를 “down” 상태로 전환시키는 루틴(예: ip link set dev down 또는 sysfs /sys/class/net/<dev>/operstate 변경)과, 그 과정에서 커널 내부의 rose_kill_by_device() 함수가 호출되도록 유도해야 합니다.
이때 배열 인덱스 오류가 발생하면 비정규화된 소켓 포인터를 역참조하게 되며, 이는 커널 패닉이나 권한 상승으로 이어질 수 있습니다.
EPSS 값이 0.0012 로 매우 낮고 KEV에 등재되지 않았다는 점은 현재까지 보고된 실제 공격 사례가 거의 없으며, 일반적인 위협 환경에서는 위험도가 제한적임을 의미합니다.
하지만 로컬 권한만으로도 악용 가능하므로

• 커널 주소 유출 – KASLR 우회 및 추가 익스플로잇 체인 구축 가능
• 소켓 포인터 역참조 – 커널 패닉에 의한 DoS 혹은 임의 코드 실행
• 레퍼런스 누수 – 메모리 사용량 증가·잠재적 리소스 고갈

• 동일한 로컬 OOB‑Read/Write 패턴을 이용하는 CVE‑2024‑XXXX (netfilter) 등과 결합해 KASLR 우회 후 권한 상승 체인을 완성할 수 있다.
• sock_hold() 레퍼런스 관리 오류와 연계된 메모리 누수 취약점(CVE‑2023‑YYYY)도 유사하게 LPE를 촉진한다.

1. auditd 로그 – netlink 혹은 rtnetlink 로 ROSE 디바이스 상태가 DOWN 되는 이벤트 감시

   • 규칙 예시: -a always,exit -F arch=b64 -S ioctl -F a0=0x???????? -k rose_down (ioctl 번호는 커널 버전별 확인)

2. eBPF/kprobe – rose_kill_by_device 진입 시점에 스택 트레이스와 인자 기록

   • 의사코드:

 1KPROBE_PROG(rose_kill_by_device) {
 2    if (dev->type == ARPHRD_ROSE)
 3        bpf_trace_printk("ROSE_KILL_BY_DEVICE dev=%s pid=%d\n", dev->name, bpf_get_current_pid_tgid());
 4}

1. SIEM 쿼리 예시 (Splunk)

   text복사

    1index=linux_audit sourcetype=audit
    2("type=NETLINK" AND "ROSE") OR ("msg=audit.*syscall=ioctl" AND "arg0=0x????????")
    3| stats count by host, user, _time
    4| where count > 5

2. 오탐 튜닝

   • ROSE 모듈이 실제 운영 환경에 존재하지 않을 경우 위 이벤트는 거의 발생하지 않음. 따라서 “ROSE 디바이스가 존재하는 호스트” 라벨을 사전에 정의하고, 해당 호스트에서만 경보를 활성화한다.

• 디바이스 다운 제한 – net.ipv4.conf.all.rp_filter=1 등과 함께 systemd 유닛을 만들어 ROSE 인터페이스가 DOWN 될 경우 자동 복구 및 경보 발생.

  text복사

   1cat > /etc/systemd/system/rose-protect.service <<EOF
   2[Unit]
   3Description=Prevent ROSE interface down
   4After=network.target
   5 
   6[Service]
   7ExecStart=/usr/local/bin/monitor_rose.sh
   8Restart=always
   9 
  10[Install]
  11WantedBy=multi-user.target
  12EOF

  난이도: ★★☆ (스크립트 작성·서비스 등록) 운영 영향: 인터페이스 관리 정책에 약간의 지연 추가. 검증: 서비스 상태 systemctl status rose-protect 와 로그에 “ROSE interface down prevented” 메시지 확인.

• 감시 규칙 강화 – 앞서 제시한 auditd/kprobe 규칙을 배포하고, 경보 발생 시 자동으로 해당 프로세스(예: ifconfig, ip) 를 차단하거나 관리자에게 알림.
  난이도: ★★☆ 운영 영향: 정상적인 네트워크 재구성 작업에 대한 오탐 가능성 존재 → 튜닝 필요. 검증: 테스트 환경에서 의도적으로 ROSE 디바이스를 down 시키고 로그가 수집되는지 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0012 · exploit=hard · in_scope=None