[방어] 분석 — CVE-2026-31665

• 심각도 high · CVSS 7.8 · EPSS 0.00122 · 악용난이도 hard

본 취약점은 netfilter 내 nft_ct 모듈의 타임아웃 객체 파괴 과정에서 발생하는 Race Condition 기반의 Memory-Corruption(Use-After-Free)입니다.

1. 경로: nft_ct_timeout_obj_destroy() 함수가 nf_ct_untimeout() 호출 직후 RCU grace period를 기다리지 않고 kfree()를 통해 객체를 즉시 해제합니다.
2. 트리거: 다른 CPU에서 패킷 처리가 동시에 이루어질 때, nf_ct_timeout_data()를 통해 rcu_dereference()로 참조 중인 객체가 이미 해제된 상태가 되어 유효하지 않은 메모리에 접근하게 됩니다.
3. 단계: Local 권한을 가진 공격자가 특정 네트워크 설정 및 패킷 트래픽을 정교하게 조작하여 UAF 상황을 강제로 유도하고, 이를 통해 커널 메모리를 오염시킵니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L과 PR:L에서 알 수 있듯, 공격자는 시스템에 이미 일반 사용자 권한으로 접근할 수 있는 로컬 계정을 보유해야 하며 네트워크를 통한 원격 트리거는 불가능합니다. 공격 표면은 Linux 커널의 netfilter 내 nft_ct 모듈이며, 구체적으로는 nf_conntrack의 timeout 객체가 파괴되는 시점과 다른 CPU에서 해당 객체를 참조하는 시점 사이의 Race Condition을 이용하는 Use-After-Free(UAF) 구조를 가집니다. 다만, EPSS 수치가 0.00122로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 취약점을 이용한 실질적인 공격 사례가 드물며, 커널 메모리 레이아웃을 정밀하게 제어해야 하는 기술적 진입장벽이 높음을 시사합니다. 결과적으로 이론적 심각도는 높으나, 로컬 권한 확보라는 전제 조건과 RCU Grace Period 내의 정교한 타이밍 공격이 필요하므로 실제 악용 가능성은 제한적입니다.

• 권한 상승 (LPE): AV:L/PR:L 벡터에 따라 로컬 사용자 권한에서 시작하여 커널 공간의 메모리 손상을 유발, 최종적으로 Root 권한 획득이 가능합니다.
• 시스템 가용성 저하: 잘못된 메모리 참조로 인한 Kernel Panic 및 시스템 Crash(DoS)가 발생할 수 있습니다.

• 유형 연계: Memory-Corruption 유형으로, 특히 RCU(Read-Copy-Update) 메커니즘의 동기화 미흡을 이용한 UAF 패턴입니다.
• 권한 체이닝: unprivileged user namespaces가 활성화된 환경에서는 일반 사용자가 net_admin 권한을 획득하여 nftables 설정을 조작할 수 있으므로, 이를 통한 공격 진입 장벽이 낮아집니다.

본 취약점은 커널 내부의 Race Condition으로 인해 표준 애플리케이션 로그에는 남지 않으며, 시스템 레벨의 메모리 오류 지표를 확인해야 합니다.

1. 로그 및 지표

• KASAN Report: 테스트/디버그 환경에서 BUG: KASAN: slab-use-after-free in nf_conntrack_tcp_packet 메시지 확인.
• Kernel Oops/Panic: /var/log/syslog, dmesg에서 nf_conntrack 관련 Call Trace 및 General Protection Fault 발생 여부 모니터링.

2. 탐지 규칙 예시 (SIEM/EDR 의사코드)

• Rule 1: Kernel Panic 패턴 감지
  • Source: /var/log/kern.log or dmesg
  • Condition: (text contains "slab-use-after-free") AND (text contains "nf_conntrack")
• Rule 2: 비정상적인 nftables 설정 변경 시도
  • Source: Auditd / syscall logs
  • Condition: syscall == "sendmsg" AND target_process == "nft" AND user != "root" (추정: 일반 사용자의 빈번한 netfilter 객체 생성/삭제 행위 탐지)

3. 오탐 튜닝 및 한계

• 오탐: 정상적인 네트워크 설정 변경이나 커널 버그로 인한 간헐적 Crash와 구분하기 어렵습니다.
• 튜닝: nf_conntrack 관련 Call Trace가 반복적으로 발생하며, 특히 nft_obj_destroy $\rightarrow$ nf_conntrack_tcp_packet 순서의 흐름이 보이는지 확인하여 정밀도를 높입니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00122(백분위 0.02374)로 실측 악용 가능성은 낮으나 CVSS 7.8의 높은 심각도로 인해 '이번 주 내(scheduled)' 대응이 결정되었습니다.

1. 즉시 (긴급 차단)

• 조치: unprivileged user namespaces 비활성화
  • Command: sysctl -w kernel.unprivileged_userns_clone=0
  • 난이도: 낮음 / 운영 영향: 컨테이너 런타임(Rootless Docker 등) 일부 기능 작동 불가 가능성 있음 / 검증: sysctl kernel.unprivileged_userns_clone 값 확인 / 우선순위: 최상

2. 단기 (완화)

• 조치: nftables 모듈 로드 제한 및 불필요한 모듈 언로드
  • Command: modprobe -r nft_ct (사용하지 않는 경우)
  • 난이도: 중간 / 운영 영향: nftables 기반 방화벽 규칙 작동 중단 / 검증: lsmod | grep nft_ct 결과 확인 / 우선순위: 높음

3. 근본 (해결)

• 조치: 커널 업데이트 (취약점이 해결된 버전으로 업그레이드)
  • 대상 버전: 4.19.x, 5.10.x, 5.15.x, 6.1.x, 6.6.x, 6.12.x 등 각 브랜치의 최신 패치 버전 적용 (상세 리스트는 [사실] 섹션의 영향 제품 범위 참조)
  • 난이도: 높음 / 운영 영향: 시스템 재부팅 필요 및 커널 버전 변경에 따른 호환성 테스트 필요 / 검증: uname -r로 패치 버전 확인 / 우선순위: 필수

잔여 리스크: 패치 이후에도 RCU grace period 관련 유사한 로직 오류가 다른 netfilter 모듈에 존재할 가능성이 있으므로, 지속적인 커널 보안 업데이트 체계 유지가 필요합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00122 · exploit=hard · in_scope=None