[공격] 분석 — CVE-2025-68787

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• 공격 표면 및 트리거: AF_NETROM 프로토콜 소켓을 사용하는 엔드포인트가 타겟이다. 공격자는 sendmsg() 시스템 콜을 통해 데이터를 전송하며, 내부적으로 nr_sendmsg() $\rightarrow$ nr_output() 경로를 타게 된다.
• 결함 원리: nr_sendmsg()에서 skb (socket buffer)가 할당되지만, 이후 nr_output() 내의 sock_alloc_send_skb() 함수가 메모리 부족 등의 이유로 NULL을 반환할 경우, 이미 할당된 원래의 skb를 해제(kfree_skb)하지 않고 그대로 리턴하는 로직 결함이 존재한다.
• 공격 체인:
  1. 정찰/초기 접근: 타겟 시스템에서 AF_NETROM 프로토콜 활성화 여부를 확인한다. (추정: 일반적인 서버 환경에서는 기본적으로 비활성화되어 있을 가능성이 높음)
  2. 실행 (Resource Exhaustion): 대량의 작은 메시지를 지속적으로 전송하여 sock_alloc_send_skb()가 실패하는 조건(메모리 압박 상태)을 유도하거나, 반복적인 호출을 통해 커널 슬랩(Slab) 메모리를 점유한다.
  3. 영향: 해제되지 않은 skb 객체가 커널 메모리에 누적되어 시스템 전체의 가용 메모리가 고갈된다.
• 실전 관점의 제약 (AV/AC/PR):
  • AV (Attack Vector): 로컬 접근(Local)이 기본이다. 네트워크를 통해 AF_NETROM 소켓을 직접 생성할 수 없으므로, 이미 시스템에 접근 권한이 있는 사용자가 실행해야 한다.
  • AC (Complexity): High. 단순히 호출하는 것이 아니라 커널 내 특정 메모리 할당 실패 조건을 정교하게 유도해야 하므로 난이도가 높다.
  • PR (Privileges): Low/None. 일반 사용자 권한으로 소켓 생성 및 sendmsg 호출이 가능하다면 트리거 가능하며, 이 점이 로컬 DoS의 핵심이다.

악용 가능성: 본 취약점은 Linux 커널의 netrom 프로토콜 내 nr_sendmsg() 함수에서 발생하는 Memory Leak으로, 공격 난이도는 Hard로 판정됩니다. 공격 표면은 netrom 소켓을 통해 메시지를 전송하는 엔드포인트이며, 구체적으로는 sock_alloc_send_skb()가 NULL을 반환하게 만드는 메모리 압박 상태나 특정 리소스 제한 조건이 트리거되어야 합니다. 하지만 EPSS 값이 0.00177로 매우 낮고 KEV에 등재되지 않은 점은, 이 결함이 즉각적인 RCE나 권한 상승으로 이어지는 직접적인 경로가 부족함을 시사합니다. 실제 악용을 위해서는 단순한 메모리 누수를 넘어, 커널 패닉(DoS)을 유도하거나 다른 Heap-based 취약점과 체이닝하여 정교하게 메모리 레이아웃을 조작하는 과정이 필수적입니다. 결과적으로 로컬 권한이나 특정 네트워크 설정이 전제되어야 하며, 단순 트리거만으로는 실질적인 시스템 장악이 어려워 실제 위협 수준은 이론적 심각도보다 낮습니다.

• 가용성 상실 (DoS): 커널 메모리 누수로 인해 시스템 전체의 OOM(Out-Of-Memory) 킬러가 작동하거나, 커널 패닉이 발생하여 시스템이 중단된다.

• 메모리 압박 유도 체이닝: 단독으로는 메모리 누수 속도가 느릴 수 있으나, 다른 메모리 점유 취약점이나 커널 메모리 파편화(Fragmentation)를 유발하는 기법과 체이닝될 경우 OOM 상태를 훨씬 빠르게 달성할 수 있다.
• 권한 상승으로의 확장 (추정): 단순 Memory Leak은 일반적으로 DoS에 그치지만, 특정 슬랩 캐시의 레이아웃을 조작(Heap Grooming)하는 과정에서 메모리 누수를 이용해 객체 배치를 정교하게 제어하려 시도할 가능성이 있다. 다만, 본 결함은 해제 누락이지 오버플로우가 아니므로 직접적인 RCE/LPE로 이어지기는 어렵다.
• 패턴: Memory Leak $\rightarrow$ Resource Exhaustion $\rightarrow$ System Instability.

• 커널 로그 모니터링: kmemleak 도구가 활성화된 환경에서 net/netrom/af_netrom.c:1105 지점의 unreferenced object 발생 여부를 확인한다.
• 메모리 사용량 추이: slabtop 등을 통해 skbuff_head_cache 등 네트워크 관련 슬랩 메모리가 비정상적으로 지속 증가하는지 모니터링한다.

• 즉시 조치: 사용하지 않는 경우 AF_NETROM 프로토콜 모듈을 언로드하거나 블랙리스트에 추가하여 공격 표면을 제거한다.
• 근본 해결: nr_output()에서 sock_alloc_send_skb()가 NULL을 반환하기 전, 할당되었던 skb를 적절히 free 하도록 수정된 최신 커널 패치를 적용한다.

분석 근거 및 우선순위 결정 논리:
본 리포트는 다중 소스 데이터의 일관성이 확인(신뢰도 1.0)된 사실을 기반으로 작성되었다. 실측 EPSS 값은 0.00177 (백분위 0.07471)로 매우 낮으며, 이는 실제 야생(Wild)에서 이 취약점이 공격에 이용될 확률이 극히 희박함을 의미한다. 또한 KEV(Known Exploited Vulnerabilities)에 등재되지 않았고 악용 난이도가 hard로 평가되므로, 즉각적인 패치보다는 시스템 영향도를 고려한 monitor 수준의 대응 우선순위를 부여하였다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None