[방어] 분석 — CVE-2026-8108

• 심각도 high · CVSS 7.8 · EPSS 0.00146 · 악용난이도 hard

Fuji Tellus 설치 시 커널에 로드되는 드라이버가 /dev/fuji_tellus 디바이스 파일을 생성하고, 모듈 초기화 과정에서 chmod 666(또는 동등한 권한 부여) 호출을 수행합니다. 이로 인해 일반 사용자도 해당 디바이스에 대한 read/write IOCTL 요청이 가능해지며, 커널 메모리 영역을 자유롭게 읽고 쓸 수 있습니다. 공격자는 로컬 계정만으로도 IOCTL 핸들러를 이용해 임의 주소 쓰기(Write‑What‑Where) 혹은 함수 포인터 덮어쓰기를 수행해 권한 상승(LPE)을 달성할 수 있습니다.

• 일반 사용자 계정이 커널 메모리를 직접 수정 가능 → 시스템 핵심 구조·핵심 데이터 변조, 루트 권한 획득
• 영구적인 드라이버 로드 상태 때문에 재부팅 후에도 동일 위험 지속
• 장치 파일을 이용한 임의 코드 실행으로 서비스 장애·데이터 파괴 가능

추정: 과도한 디바이스 권한 부여는 CWE‑284(Improper Access Control)와 연계될 수 있으며, 이미 알려진 LPE 체인(예: privilege escalation via vulnerable driver IOCTL)과 결합하면 커널 주소 공간 레이아웃(KASLR) 우회를 위한 추가 정보 수집 단계가 필요합니다.

• 로그 지표

  • kernel 로그(dmesg, /var/log/kern.log) : 모듈 로드 시 "FujiTellus" 혹은 "fuji_tellus" 문자열 포함 메시지
  • auditd 이벤트: syscall=chmod|fchmodat|chown 가 비특권 UID(≥1000)에서 /dev/fuji_tellus 경로에 대해 성공적으로 수행된 경우
  • auditd IOCTL 기록: syscall=ioctl 이 device="/dev/fuji_tellus" 와 함께 cmd 값이 비정상적인(예: 커널 주소를 인자로 전달) 경우

• SIEM 탐지 규칙 예시

  1. 드라이버 로드 감시
     • source: syslog, filter: message =~ /module.*fuji_tellus.*loaded/ → alert “FujiTellus driver loaded”.
  2. 비특권 사용자의 디바이스 권한 변경
     • source: auditd, filter: syscall in ("chmod","fchmodat","chown") and uid >= 1000 and exe != "rpm" and file_path == "/dev/fuji_tellus" → alert “Unprivileged chmod on FujiTellus device”.
  3. 비정상 IOCTL 호출 탐지
     • source: auditd, filter: syscall == "ioctl" and uid >= 1000 and dev == "/dev/fuji_tellus" and arg2 matches /0x[0-9a-f]{8,}/ → alert “Suspicious IOCTL to FujiTellus”.

• 오탐 튜닝

  • 정상적인 패키지 관리(rpm, apt, dnf)에서 발생하는 권한 변경은 process_name 필터로 제외한다.
  • 테스트/개발 환경에서는 host_environment == "dev" 조건을 추가해 알림을 억제한다.

• 즉시(긴급 차단) – 오늘 당장 적용할 임시 조치: /etc/modprobe.d/blacklist.conf에 blacklist fuji_tellus 를 추가하고, chmod 600 /dev/fuji_tellus && setfacl -m u:!all:rwx /dev/fuji_tellus 로 디바이스 파일 접근을 차단한다.

  • 구현 난이도: ★☆☆ (간단)
  • 운영 영향: 해당 드라이버가 제공하는 기능이 즉시 중지되지만, 시스템 가용성에는 큰 영향을 주지 않음.
  • 검증 방법: lsmod | grep fuji_tellus 결과가 없어야 하며, stat /dev/fuji_tellus 로 권한이 제한됐는지 확인한다.

• 단기(완화) – SELinux/AppArmor 정책을 강화해 비특권 사용자에게 rw IOCTL 호출을 차단하고, 이미 부여된 666 권한을 chmod 640 으로 복구한다. 또한 EDR에서 커널 객체 무결성 모니터링을 활성화하고, 위 탐지 규칙을 배포한다.

  • 구현 난이도: ★★☆ (정책 작성·배포)
  • 운영 영향: 정책 적용 시 정상 서비스가 디바이스에 접근해야 하면 예외 규칙을 추가해야 함.
  • 검증 방법: auditctl -l 로 현재 정책 확인, 테스트 계정으로 ioctl 호출 시 거부 로그(AVC denied) 가 기록되는지 점검한다.

• 근본(해결) – Fujielectric에서 제공하는 공식 패치를 적용하거나, 취약점이 제거된 최신 FujiTellus 버전으로 업그레이드한다. 패치 적용 전후에 modinfo fuji_tellus 로 모듈 메타데이터를 확인하고, 권한 부여 동작이 사라졌는지 테스트한다.

  • 구현 난이도: ★★★ (패키지 교체·재시작)
  • 운영 영향: 제품 재설치와 서비스 중단 시간 발생 가능, 사전 백업 필요.
  • 검증 방법: 패치 적용 후 dmesg 에서 “module fuji_tellus loaded” 메시지는 존재하지만 권한 변경 로그가 나타나지 않아야 함.

• 잔여 리스크 – 패치를 적용해도 드라이버 자체가 시스템에 남아 있다면 향후 다른 취약점이 발견될 위험이 있습니다. 따라서 정기적인 커널 모듈 무결성 검사와 보안 업데이트 정책을 운영 절차에 포함시켜야 합니다.

• 인시던트 대응 플레이북

  1. lsmod | grep fuji_tellus 로 모듈 존재 여부 확인 → 존재 시 즉시 블랙리스트 적용.
  2. /dev/fuji_tellus 파일 권한 및 ACL 점검, 비정상적인 chmod/chown/ioctl 이벤트 검색.
  3. 탐지 규칙에 의해 알림이 발생하면 해당 프로세스 PID와 실행 경로를 수집하고, 메모리 덤프를 통해 악성 IOCTL 페이로드 여부 확인.
  4. 필요 시 시스템을 격리하고 포렌식 로그를 보관한 뒤, 공급업체 패치가 배포될 때까지 임시 차단 정책을 유지한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00146 · exploit=hard · in_scope=None