[방어] 분석 — CVE-2025-71075

• 심각도 high · CVSS 7.8 · EPSS 0.00126 · 악용난이도 hard

본 취약점은 aic94xx 드라이버의 장치 제거 경로(asd_pci_remove)에서 발생하는 Race Condition 기반의 Memory-Corruption(Use-After-Free)입니다.

1. 트리거: Hot-unplug 또는 커널 모듈 언로드(rmmod)를 통해 장치 제거 프로세스가 시작됩니다.
2. 취약점 발생: asd_ha 구조체가 해제되기 전, 대기 중인 Tasklet(지연 처리 작업)과의 동기화 과정이 누락되어 있습니다.
3. 경로: asd_ha 메모리가 이미 해제된 상태에서 스케줄링된 Tasklet이 해당 메모리 주소에 접근하여 실행을 시도함으로써 Use-After-Free가 발생합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인하여 권한을 가진 상태에서 로컬 접근이 가능해야 합니다. 공격 표면은 Linux 커널의 aic94xx SCSI 드라이버 내 asd_pci_remove() 함수이며, 하드웨어 Hot-unplug나 모듈 언로드(Module Unload) 시 발생하는 Race Condition이 트리거 조건입니다. 특히 Use-After-Free(UAF)를 유발하기 위해 정교한 타이밍으로 Tasklet의 실행과 구조체 해제 시점을 맞추어야 하므로 실제 악용 난이도가 매우 높습니다. EPSS 수치가 0.00126으로 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 취약점임에도 불구하고 실제 야생(In-the-wild)에서 공격 툴로 구현되어 유포될 가능성이 극히 희박함을 시사합니다. 결과적으로 본 취약점은 특정 하드웨어 드라이버를 사용하는 환경에서 로컬 권한을 가진 사용자가 시스템 크래시나 권한 상승을 시도할 때만 유효한 제한적인 위협입니다.

• 권한 상승(Privilege Escalation): 로컬 공격자가 커널 메모리를 조작할 수 있을 경우, 일반 사용자 권한에서 루트(root) 권한으로 상승할 가능성이 있습니다. (CVSS 벡터 PR:L 근거)
• 시스템 가용성 저하: 잘못된 메모리 참조로 인한 Kernel Panic 및 시스템 크래시(DoS)가 발생하여 서비스 중단이 초래될 수 있습니다.

• 유형 연계: 전형적인 Race Condition 기반의 Use-After-Free 패턴입니다.
• 체이닝 가능성: 단독으로 완전한 원격 코드 실행(RCE)은 불가능하나, 다른 로컬 취약점과 체이닝하여 커널 메모리 레이아웃을 파악(KASLR 우회 등)하거나 권한 상승의 최종 단계로 활용될 수 있습니다.

본 취약점은 커널 내부의 Race Condition으로 인해 로그에 명시적인 '공격 시그니처'가 남지 않는 특성이 있습니다. 따라서 시스템 상태 변화와 비정상 종료 징후를 추적해야 합니다.

• 로그 지표 및 위치:

  • /var/log/syslog, /var/log/messages 또는 dmesg 출력물.
  • 패턴: aic94xx 관련 Kernel Oops, Segmentation Fault, 혹은 General Protection Fault 메시지 확인.

• 탐지 규칙 예시:

  1. SIEM 쿼리 (비정상 커널 패닉 탐지):
     source=kernel_log AND (message CONTAINS "aic94xx" AND (message CONTAINS "Oops" OR message CONTAINS "BUG" OR message CONTAINS "use-after-free"))
  2. 모듈 언로드 빈도 감시 (의사코드):
     IF event == "module_unload" AND module_name == "aic94xx" AND frequency > threshold(10/min) THEN alert("Potential Race Condition Triggering")
  3. 정규식 기반 로그 스캔:
     /(aic94xx).*?(?:kernel bug|invalid opcode|page fault)/i

• 오탐 튜닝 및 시나리오:

  • 오탐: 하드웨어 결함이나 실제 장치 제거 과정에서 발생하는 일시적인 커널 오류.
  • 튜닝: aic94xx 드라이버를 사용하지 않는 서버에서 해당 모듈이 로드/언로드되는 이벤트가 반복적으로 발생하는지 확인하여 화이트리스트 처리하거나 임계값을 조정합니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00126(백분위 0.0264)으로 실제 악용 가능성은 낮으나 CVSS 7.8의 높은 심각도를 고려하여 '이번 주 내(scheduled)' 대응을 권고합니다.

• 즉시 (긴급 차단): 취약한 드라이버 모듈 블랙리스트 등록

  • 조치: /etc/modprobe.d/blacklist.conf에 blacklist aic94xx 추가 후 적용.
  • 난이도: 매우 낮음 / 운영 영향: 해당 하드웨어(aic94xx SCSI 컨트롤러) 미사용 시 영향 없음 / 검증: lsmod | grep aic94xx 결과가 없어야 함.

• 단기 (완화): 불필요한 모듈 로딩 제한 및 권한 제어

  • 조치: 일반 사용자의 커널 모듈 조작 권한을 엄격히 제한하고, CAP_SYS_MODULE 권한 보유 계정을 최소화합니다.
  • 난이도: 낮음 / 운영 영향: 관리자 작업 프로세스 변경 필요 / 검증: 비특권 계정에서 rmmod 실행 시 Permission Denied 확인.

• 근본 (해결): 커널 업데이트 및 패치 적용

  • 조치: tasklet_kill()이 추가된 수정 버전(예: 6.12.65+, 6.6.121+ 등 영향 제품군별 최신 패치 버전)으로 커널 업그레이드.
  • 난이도: 보통 (재부팅 필요) / 운영 영향: 시스템 재시작으로 인한 일시적 서비스 중단 발생 / 검증: uname -r을 통해 패치된 버전 확인.

잔여 리스크: 패치 후에도 동일한 드라이버 내 다른 Race Condition 지점이 존재할 가능성이 있으며, 이는 지속적인 커널 보안 업데이트를 통해서만 해결 가능합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00126 · exploit=hard · in_scope=None