[분석가] 분석 — CVE-2025-21706

• 심각도 medium · CVSS 5.5 · EPSS 0.00205 · 악용난이도 hard

1. 트리거 조건: mptcp (Multi-Path TCP) 프로토콜의 in-kernel path-manager 환경에서 set_flags() 훅(hook)의 권한 검증 미흡을 이용합니다. 원래 'subflow' 엔드포인트에만 설정되어야 할 fullmesh 플래그가 'implicit' 엔드포인트에도 설정될 수 있는 로직 결함이 트리거 포인트입니다.
2. 공격 단계:
   • 초기 접근: 공격자는 대상 시스템에 대한 로컬 사용자 권한(Local Access)을 이미 확보해야 합니다.
   • 실행: Netlink 인터페이스를 통해 mptcp_pm_nl_set_flags 함수로 연결되는 요청을 보내, implicit 엔드포인트의 플래그를 fullmesh로 변경합니다.
   • 영향: 잘못 설정된 플래그가 __mark_subflow_endp_available 등의 내부 함수에서 처리될 때 커널 경고(WARNING) 또는 패닉(Panic)을 유발하여 시스템 가용성을 저해합니다.
3. 공격 표면: Linux Kernel의 MPTCP Path Manager 및 관련 Netlink 인터페이스.
4. CVSS 벡터 분석:
   • AV:L (Local): 로컬 접근 권한이 필요함.
   • PR:L (Low): 일반 사용자 수준의 낮은 권한으로 실행 가능함.
   • UI:N (None): 사용자 상호작용 없이 트리거됨.
   • A:H (High): 성공 시 시스템 가용성에 높은 영향을 미침(Crash/DoS).

악용 가능성: 본 취약점은 Linux 커널의 MPTCP(Multi-Path TCP) Path Manager 내 fullmesh 플래그 설정 로직 오류로 인해 발생하며, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 유효한 사용자 계정 권한을 가지고 로컬 접근이 가능한 상태여야 합니다. 공격 표면은 커널의 Netlink 인터페이스를 통한 MPTCP 설정 파라미터이며, 특히 implicit 엔드포인트에 잘못된 플래그가 부여되는 트리거 조건을 이용합니다. EPSS 수치는 0.00205로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아, 현재 야생에서의 실제 악용 사례는 미관측 상태입니다. 따라서 이론적인 커널 내 Warning 유발 가능성과 별개로, 로컬 권한 획득이라는 전제 조건과 낮은 실측 위협 지표를 고려할 때 즉각적인 대규모 악용 가능성은 낮을 것으로 분석됩니다.

1. 기술적 위험:
   • 서비스 중단 (DoS): 커널 내부의 잘못된 상태 값으로 인해 Kernel Warning 또는 Crash가 발생하며, 이는 호스트 시스템의 전면적인 중단으로 이어질 수 있습니다.
   • 추정: 권한 상승(LPE)이나 데이터 유출 가능성은 현재 제공된 사실만으로는 확인되지 않습니다.
2. 비즈니스 영향:
   • 가용성 저하: MPTCP를 사용하는 고가용성 네트워크 인프라나 서버의 경우, 예기치 못한 재부팅으로 인한 서비스 다운타임이 발생합니다.
   • 운영 리스크: 로컬 권한을 가진 악의적 내부자 또는 이미 침투한 공격자가 시스템을 무력화하는 수단으로 활용할 수 있습니다.

• 취약점 유형: 로직 결함에 의한 상태 관리 오류 (State Management Error).
• 추정 체이닝 패턴: 로컬 권한 획득(Initial Access) → MPTCP 플래그 조작(CVE-2025-21706) → 커널 패닉 유발(DoS) 순으로 이어지는 가용성 파괴 체인이 가능합니다.

1. 로그 지표:
   • 커널 로그(dmesg, /var/log/syslog) 내 net/mptcp/pm_netlink.c 경로와 관련된 WARNING 메시지 발생 여부 확인.
2. 탐지 규칙 예시:
   • 로직: dmesg 또는 커널 로그에서 특정 함수 호출 스택 패턴 탐지.
   • 패턴: WARNING.*at net/mptcp/pm_netlink.c:1496 __mark_subflow_endp_available
3. 오탐 시나리오 및 튜닝:
   • MPTCP 관련 네트워크 드라이버의 불안정성으로 인한 자연 발생적 Warning일 수 있습니다. 특정 사용자 ID(UID)가 짧은 시간 내에 반복적으로 해당 경고를 유발하는지 상관분석하여 탐지 정밀도를 높여야 합니다.

1. 즉시 (긴급 차단):
   • 조치: MPTCP 기능이 불필요한 서버의 경우 커널 모듈 로드 제한 또는 비활성화.
   • 영향/검증: 네트워크 다중 경로 전송 기능을 사용하지 못하게 되며, lsmod | grep mptcp로 확인 가능합니다. (난이도: 하 / 영향: 중)
2. 단기 (완화):
   • 조치: 신뢰할 수 없는 로컬 사용자의 Netlink 소켓 접근 권한 제한 및 모니터링 강화.
   • 영향/검증: 시스템 관리 도구의 동작에 영향을 줄 수 있으며, 감사 로그(Auditd)를 통해 검증합니다. (난이도: 중 / 영향: 하)
3. 근본 (해결):
   • 조치: 영향받는 커널 버전을 패치 버전으로 업데이트.
     • Linux Kernel 5.18 ~ 6.1.129 $\rightarrow$ 최신 수정 버전
     • Linux Kernel 6.2 ~ 6.6.78 $\rightarrow$ 최신 수정 버전
     • Linux Kernel 6.7 ~ 6.12.13 $\rightarrow$ 최신 수정 버전
     • Linux Kernel 6.13 ~ 6.13.2 $\rightarrow$ 최신 수정 버전
   • 영향/검증: 커널 업데이트 후 재부팅이 필요하며, uname -r로 버전 확인 가능합니다. (난이도: 중 / 영향: 상-재부팅 필요)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00205, 백분위 0.10802)이 매우 낮고 KEV에 등재되지 않았으며 악용 난이도가 'hard'라는 점을 근거로 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00205 · exploit=hard · in_scope=None