[공격] 분석 — CVE-2026-31768

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

본 취약점은 ti-adc161s626 드라이버의 spi_read() 함수가 DMA(Direct Memory Access) 안전하지 않은 Stack Memory를 버퍼로 사용함으로써 발생한다. SPI 컨트롤러가 DMA를 통해 데이터를 전송할 때, 물리적 주소 매핑이 불가능하거나 정렬되지 않은 스택 영역에 직접 쓰기를 시도하면 커널 메모리 오염(Corruption)으로 이어진다.

• 공격 표면 (Attack Surface):
  • 대상 함수: ti-adc161s626 드라이버 내의 spi_read() 호출 지점.
  • 노출 경로: 해당 하드웨어가 장착된 시스템에서 /dev/iio:deviceX (IIO 인터페이스)를 통해 드라이버 기능을 트리거하는 로컬 사용자.
• 공격 체인 및 전제 조건:
  1. 정찰: lsmod 또는 /proc/modules를 통해 ti-adc161s626 드라이버가 로드되어 있는지 확인.
  2. 초기 접근: 시스템에 로그인한 일반 사용자 권한(PR:L) 필요.
  3. 실행 (Trigger): IIO 장치 파일에 대한 읽기 요청을 보내 spi_read()를 유도. 이때 DMA 컨트롤러가 스택 메모리 주소로 데이터를 쓰게 함으로써 커널 스택의 Return Address나 함수 포인터를 덮어씀.
  4. 권한 획득: 제어 흐름 가로채기(Control-flow Hijacking)를 통해 커널 권한으로 임의 코드 실행 $\rightarrow$ Root 권한 획득 (LPE).
• CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N은 공격자가 이미 시스템에 진입해 있으며, 특별한 사용자 상호작용 없이 낮은 권한만으로도 커널 메모리를 직접 건드릴 수 있는 환경임을 의미한다.

악용 가능성: 본 취약점은 Linux Kernel의 ti-adc161s626 드라이버에서 DMA-safe 메모리가 아닌 스택 메모리를 spi_read()에 사용함으로써 발생하는 메모리 오염 가능성을 다룹니다. 공격 난이도가 Hard로 판정된 이유는 CVSS 벡터의 AV:L과 PR:L이 시사하듯, 공격자가 이미 시스템에 로그인하여 로컬 권한을 가진 상태에서 특정 하드웨어(TI ADC161S626)가 장착된 환경이어야 한다는 매우 제한적인 전제조건 때문입니다. 공격 표면은 SPI 버스를 통해 데이터를 주고받는 커널 내부의 spi_read() 함수와 관련 DMA 버퍼 인터페이스에 국한되며, 일반적인 네트워크 엔드포인트로는 접근이 불가능합니다. EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서 이 특정 드라이버를 타깃으로 한 공격 사례가 희박함을 증명하며, 이론적 심각도보다 실전 악용 가능성이 현저히 낮음을 의미합니다. 그러나 로컬 권한을 가진 공격자가 커널 메모리 레이아웃을 정밀하게 제어할 수 있다면, DMA 전송 과정에서 발생하는 비정상적인 메모리 쓰기를 통해 권한 상승(Privilege Escalation)으로 이어질 수 있는 잠재적 경로가 존재합니다. 결과적으로 본 취약점은 단독으로는 위협적이지 않으나, 하드웨어 제어권이 확보된 상태에서 커널 보호 기법을 우회하기 위한 체이닝의 일환으로 악용될 가능성이 있습니다.

• 커널 패닉 (DoS): 잘못된 메모리 주소 접근으로 인한 즉각적인 시스템 크래시.
• 권한 상승 (LPE): 스택 오염을 통한 커널 모드 실행 권한 획득 및 전체 시스템 제어권 장악.

본 결함은 단독으로 RCE를 일으킬 수 없으나, 다음과 같은 체이닝 경로가 추정된다:

• 정보 노출 $\rightarrow$ 메모리 오염: KASLR을 우회하기 위한 다른 커널 정보 유출(Information Leak) 취약점과 체이닝될 경우, 스택의 정확한 위치를 파악하여 정밀한 페이로드 주입이 가능해짐.
• 추정: DMA Race Condition $\rightarrow$ 권한 상승: DMA 전송 시간차를 이용한 TOCTOU(Time-of-Check to Time-of-Use) 패턴과 결합하여, 검증 단계와 쓰기 단계 사이의 메모리 상태를 조작하는 시나리오가 가능할 것으로 추정됨.
• 유형 수준 체이닝: CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) 계열의 결함으로, 하드웨어 레벨의 DMA 제어권과 소프트웨어 레벨의 메모리 관리가 불일치할 때 발생하는 전형적인 커널 취약점 패턴이다.

• 모듈 로드 확인: lsmod | grep ti_adc161s626 명령으로 취약 드라이버 활성화 여부 상시 모니터링.
• 이상 징후: 커널 로그(dmesg)에서 DMA 관련 Invalid address 또는 General Protection Fault 발생 빈도 급증 확인.
• 시스템 호출: 일반 사용자가 IIO 장치 파일에 비정상적으로 잦은 접근을 시도하는 패턴 탐지.

• 즉시 조치: 해당 하드웨어를 사용하지 않는 경우 modprobe 블랙리스트에 ti-adc161s626를 추가하여 드라이버 로드를 원천 차단.
• 근본 해결: DMA-safe 버퍼(u8[] 등)를 사용하는 최신 커널 패치 적용. (다중 소스 교차검증 결과, 영향 범위가 4.9부터 6.19까지 광범위하므로 버전 확인 필수).
• 우선순위 근거: EPSS 0.00129로 실측 악용률은 낮으나, CVSS 7.8의 높은 잠재적 영향력과 공급망 범위(다수 커널 버전)를 고려하여 이번 주 내 패치 적용을 권고함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None