[단독분석] 분석 — CVE-2025-71161

• 심각도 medium · CVSS 5.5 · EPSS 0.00165 · 악용난이도 hard

공격자는 dm-verity 모듈의 Forward Error Correction(FEC) 메커니즘 내 재귀적 호출 구조를 악용합니다. 특정하게 조작된 이미지를 통해 fec_read_bufs 함수가 최대 4단계까지 재귀적으로 호출되게 유도하며, 이 과정에서 내부 루프(253회 반복)와 결합하여 이론상 최대 약 40억 회($253^4$)의 반복 연산을 강제합니다. 이는 CPU 자원을 과다 점유하여 프로세스를 'D' state(uninterruptible sleep)로 빠뜨리는 Denial-of-Service(DoS)를 유발합니다.

악용 가능성: 본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 대상 시스템에 이미 낮은 권한(PR:L)으로 접근하여 로컬 환경에서 실행 가능한 상태여야 하는 높은 진입 장벽을 가집니다. 공격 표면은 Linux 커널의 dm-verity 모듈 내 fec_read_bufs 함수이며, 특수하게 조작된 디스크 이미지를 마운트하거나 읽어 들이는 과정에서 트리거됩니다. 특히 재귀적 FEC(Forward Error Correction) 처리 로직의 루프 횟수가 기하급수적으로 증가하는 설계 결함을 이용하여 udev-worker 프로세스를 'D' 상태(Uninterruptible sleep)로 만들어 시스템 가용성을 해치는 Denial-of-Service(DoS)를 유발합니다. EPSS 수치가 0.00165로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생에서 자동화된 공격 도구가 보급되지 않았으며, 실질적인 악용 사례가 미관측되었음을 시사합니다. 따라서 이론적 심각도보다는 특정 환경의 로컬 권한 획득이라는 전제 조건이 필수적이므로 실제 악용 가능성은 낮으나, 시스템 가용성에 직접적인 영향을 줄 수 있는 hard 등급의 난이도를 가진 취약점으로 판단됩니다.

• 기술적 위험: 시스템 가용성 저하 및 서비스 중단. 특히 udev-worker와 같은 핵심 커널 프로세스가 응답 불능 상태가 되어 시스템 전체의 입출력 지연이나 프리징이 발생할 수 있습니다. 또한, 재귀 호출 시 공유 변수(fio->bufs)가 덮어씌워지는 설계 결함으로 인해 데이터 무결성 보정 기능이 정상 작동하지 않습니다.
• 비즈니스 리스크: 로컬 권한을 가진 사용자에 의해 시스템 가용성이 훼손될 수 있으나, 공격 벡터가 AV:L(Local)이며 특수 이미지 구성이 필요하므로 대규모 외부 침해 사고로 이어질 가능성은 낮습니다. 다만, 신뢰할 수 없는 이미지를 마운트하는 환경에서는 서비스 연속성 저해 리스크가 존재합니다.
• 영향 범위: Linux kernel 4.5 버전부터 6.18.6 버전까지 광범위하게 영향을 받습니다.

특정 조건에서 커널 자원을 고갈시키는 DoS 패턴의 취약점으로, 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 시스템 관리자 권한을 획득한 공격자가 시스템을 완전히 무력화하는 수단으로 활용할 가능성이 추정됩니다.

• 시스템 상태: ps 또는 top 명령어를 통해 커널 프로세스(예: udev-worker)가 장시간 'D' state(uninterruptible sleep)로 머무르는지 확인합니다.
• 로그 분석: dm-verity 관련 오류 메시지나 FEC 보정 실패와 관련된 커널 로그를 모니터링합니다.
• 패턴 예시: 비정상적으로 높은 CPU 점유율을 보이는 fec_read_bufs 및 verity_hash_for_block 함수 호출 스택 추적.

• 근본 해결: 해당 취약점이 해결된 최신 Linux 커널 버전으로 업데이트하여 재귀적 FEC 기능을 비활성화합니다.
• 즉시 조치: 신뢰할 수 없는 사용자나 프로세스가 dm-verity 장치를 생성하거나 조작된 이미지를 마운트하지 못하도록 권한 제어를 강화합니다.

분석 근거 및 우선순위 결정 논리:
본 리포트는 다중 소스 데이터의 일관성이 확인되어 신뢰도 1.0으로 작성되었습니다. CVSS 점수는 5.5(Medium)이나, 실측 데이터인 EPSS가 0.00165(백분위 0.06105)로 매우 낮아 실제 야생에서의 악용 가능성이 극히 희박한 것으로 분석됩니다. 또한 KEV 미등재 및 공격 난이도(Hard), 로컬 권한 필요(AV:L) 등의 규칙 기반 판단에 따라 대응 우선순위를 **'monitor(모니터링)'**로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00165 · exploit=hard · in_scope=None