[방어] 분석 — CVE-2026-43025

• 심각도 high · CVSS 7.3 · EPSS 0.00126 · 악용난이도 hard

본 취약점은 netfilter의 ctnetlink 인터페이스가 사용자 공간에서 전달한 명시적 헬퍼(Explicit Helper) 설정을 검증 없이 처리할 때 발생합니다.

1. 트리거: 로컬 사용자가 Netlink 소켓을 통해 CTA_EXPECT_CLASS를 포함한 기대(Expectation) 생성 요청을 보내며, 이때 기존 마스터 conntrack 헬퍼와 다른 헬퍼 값을 주입합니다.
2. 원리: 커널 내 nf_ct_expect_related_report 함수가 해당 요청을 처리하는 과정에서 메모리 경계를 벗어나 읽는 slab-out-of-bounds 오류가 발생합니다.
3. 결과: 공격자는 이 Out-of-bounds Read 프리미티브를 통해 커널 메모리의 임의 바이트를 유출할 수 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 AV:L 및 PR:L 벡터가 시사하듯 공격자가 이미 대상 시스템에 로컬 계정 권한을 획득한 상태여야 함을 전제로 합니다. 공격 표면은 Linux 커널의 netfilter 모듈 내 ctnetlink 인터페이스이며, 특히 유저스페이스에서 Netlink 프로토콜을 통해 CTA_EXPECT_CLASS 등의 파라미터를 조작하여 잘못된 Helper를 요청하는 지점이 트리거 조건입니다. 비록 AC:L로 설정되어 공격 복잡도는 낮으나, 커널 메모리 영역의 slab-out-of-bounds를 유발해야 하므로 정교한 페이로드 구성이 필요합니다. EPSS 수치가 0.00126으로 매우 낮고 KEV에 등재되지 않은 점은 현재 외부에서 자동화된 공격 도구가 널리 퍼지지 않았음을 의미하며, 이론적 심각도보다 실제 악용 가능성은 제한적인 상태입니다. 결과적으로 본 취약점은 권한 상승(Privilege Escalation)이나 커널 패닉을 유도하는 국지적 위협으로 작용할 가능성이 높습니다.

• 커널 정보 유출: 커널 메모리 영역의 데이터가 노출됩니다.
• KASLR 무력화: 추정: 유출된 포인터 값들을 조합하여 커널 베이스 주소를 계산함으로써 KASLR(Kernel Address Space Layout Randomization)을 우회할 수 있습니다. 이는 단순 정보 유출을 넘어 후속 권한 상승 공격의 필수 징검다리가 됩니다.
• 시스템 불안정: 잘못된 메모리 참조로 인해 커널 패닉 및 DoS(서비스 거부)가 발생할 수 있습니다.

• 유형: Memory-Corruption (Out-of-bounds Read).
• 체이닝: 단독으로는 정보 유출에 그치나, KASLR 우회 후 커널 쓰기(Write) 권한을 갖는 다른 취약점과 체이닝될 경우 로컬 권한 상승(LPE)으로 이어질 가능성이 매우 높습니다.

본 취약점은 메모리 릭 특성상 정형화된 애플리케이션 로그를 남기지 않습니다. 따라서 '권한'과 '비정상적 인터페이스 호출'이라는 선행 조건 및 커널 오류 메시지에 집중해야 합니다. 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으므로 아래 지표를 적용합니다.

1. 탐지 지표 및 로그 위치

• Kernel Log (dmesg, /var/log/syslog): BUG: KASAN: slab-out-of-bounds in nf_ct_expect_related_report 패턴 감시 (KASAN 활성화 환경인 경우 명확히 탐지됨).
• Auditd / System Call: socket(AF_NETLINK, ...) 호출 중 NETLINK_NETFILTER 패밀리를 사용하는 비정상 프로세스 감시.

2. 탐지 규칙 예시

• SIEM (권한 오남용 및 소켓 생성 감시):
  SELECT timestamp, pid, comm, uid FROM audit_logs WHERE syscall = 'socket' AND family = 'NETLINK_NETFILTER' AND uid != 0 AND comm NOT IN ('conntrack', 'systemd-networkd');
  (설명: 루트 권한이 아니거나 신뢰되지 않은 프로세스가 Netfilter Netlink 소켓을 생성하는 행위를 탐지)
• eBPF 기반 실시간 필터링 (의사코드):
  text복사

   1kprobe:ctnetlink_new_expect {
   2    // CAP_NET_ADMIN 권한이 없는 사용자의 접근 시도를 즉시 로깅
   3    if (!(current_cap() & CAP_NET_ADMIN)) {
   4        bpf_printk("ALERT: Unauthorized ctnetlink access attempt by PID %d (%s)", current_pid(), current_comm());
   5    }
   6}

3. 오탐 튜닝 및 한계

• 오탐 시나리오: conntrack 유틸리티, 특정 네트워크 모니터링 에이전트 등 정당한 관리 도구가 실행될 때 발생합니다.
• 튜닝: /sbin/conntrack과 같이 검증된 바이너리 경로와 해당 프로세스의 부모 프로세스(PPID)를 화이트리스트에 등록하여 필터링하십시오.

실측 EPSS 0.00126 및 악용 난이도 Hard, KEV 미등재 상태를 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이론적 심각도는 High(CVSS 7.3)이나 실제 야생 악용 가능성이 낮으므로 단계적으로 대응합니다.

1. 즉시 (긴급 차단)

• 조치: CAP_NET_ADMIN 권한 부여 프로세스 전수 조사 및 최소화. 일반 사용자 계정이나 불필요한 바이너리에 해당 Capability가 설정되어 있는지 확인하고 제거하십시오.
• 난이도/영향: 낮음 / 일부 네트워크 관리 도구의 기능 제한 가능성 있음.
• 검증: getcap -r / 명령어로 시스템 내 cap_net_admin 권한을 가진 파일 목록 확인.

2. 단기 (완화)

• 조치: 커널 감사(Audit) 설정을 통해 Netlink 소켓 생성 및 ctnetlink 관련 시스템 호출에 대한 로깅 수준 상향.
• 난이도/영향: 중간 / 로그 양 증가로 인한 디스크 I/O 부하 가능성.
• 검증: auditctl -l을 통해 설정된 룰 확인 및 테스트 요청 송신 후 로그 생성 여부 검증.

3. 근본 (해결)

• 조치: 영향받는 커널 버전의 최신 패치 적용 및 리부팅.
  • Linux Kernel 6.1 $\rightarrow$ 6.1.169+, 6.6 $\rightarrow$ 6.6.135+ 등 각 브랜치의 수정 버전 업데이트.
• 난이도/영향: 높음 / 커널 업데이트 후 리부팅 필수(서비스 가용성 일시 중단).
• 검증: uname -r 명령어로 패치된 커널 버전 적용 여부 확인.

잔여 리스크: 패치 이후에도 동일한 Netlink 인터페이스를 통한 다른 Memory-Corruption 취약점이 발견될 수 있습니다. 따라서 패치와 별개로 CAP_NET_ADMIN 권한 관리라는 최소 권한 원칙(Least Privilege)을 상시 적용해야 합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.3 · non-KEV · EPSS=0.00126 · exploit=hard · in_scope=None