[분석가] 분석 — CVE-2026-23084

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 취약점 원리: be2net 드라이버의 be_cmd_get_mac_from_list() 함수에서 pmac_id_valid 인자가 false일 때, pmac_id가 NULL인 상태로 전달되면 해당 주소를 참조(dereference)하려 시도함.
• 공격 경로: 로컬 권한(AV:L, PR:L)을 가진 사용자가 특정 조건에서 드라이버 함수를 호출하도록 유도하여 NULL 포인터 역참조를 촉발함.
• 단계: [로컬 접근] $\rightarrow$ [특정 네트워크 카드 펌웨어 요청 트리거] $\rightarrow$ [NULL 포인터 참조 발생] $\rightarrow$ [커널 패닉].

악용 가능성: 본 취약점은 Linux kernel의 be2net 드라이버 내 be_cmd_get_mac_from_list 함수에서 발생하는 NULL pointer dereference로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L(Local) 및 PR:L(Low privilege) 조건은 공격자가 이미 시스템에 로그인하여 로컬 셸 권한을 확보해야 함을 의미하며, 네트워크를 통한 원격 직접 공격은 불가능합니다. 공격 표면은 특정 하드웨어(be2net 지원 NIC)의 펌웨어와 통신하는 드라이버 인터페이스 및 관련 커널 파라미터로 제한됩니다. 트리거 조건으로는 pmac_id_valid 인자가 false이면서 동시에 pmac_id가 NULL인 상태로 함수가 호출되어야 하며, 이는 일반적인 사용자 공간의 요청보다는 특정 드라이버 동작 시나리오에 의존적입니다. EPSS 수치가 0.00123으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생에서 실제 악용 사례가 관측되지 않았음을 시사합니다. 따라서 이론적인 심각도와 달리, 로컬 권한 확보라는 전제조건과 특정 하드웨어 의존성으로 인해 실질적인 악용 가능성은 매우 낮을 것으로 분석됩니다.

• 기술적 위험: 커널 공간에서 NULL 포인터 역참조가 발생하므로, 시스템의 즉각적인 중단(Kernel Panic/Crash)으로 인한 서비스 거부(A:H, Denial of Service)가 발생함. 기밀성(C:N) 및 무결성(I:N)에 미치는 영향은 없음.
• 비즈니스 리스크:
  • 가용성 저하: 서버나 임베디드 시스템의 갑작스러운 재부팅으로 인한 서비스 중단 발생.
  • 노출 규모: Linux Kernel 3.12부터 6.18.8까지 광범위한 버전이 영향권에 있어, 해당 드라이버를 사용하는 하드웨어 환경의 노출 범위가 매우 넓음(공급망 특성).
• 리스크 평가 근거: 다중 소스 데이터 간 일관성이 확인되어 신뢰도가 높으나(1.0), EPSS 수치가 0.00123(백분위 0.02394)으로 매우 낮아 실제 야생에서 악용될 가능성은 현재로서는 극히 희박함.

• 유형: 전형적인 NULL Pointer Dereference 패턴임.
• 체이닝 가능성: 추정: 단독으로는 DoS만 유발하나, 다른 권한 상승(LPE) 취약점과 결합하여 시스템 상태를 불안정하게 만든 뒤 특정 메모리 레이아웃을 유도하는 방식으로 활용될 가능성이 있으나 근거는 부족함.

• 로그 분석: /var/log/syslog, dmesg 또는 kdump 로그에서 be2net 모듈과 관련된 NULL pointer dereference 및 Kernel Panic 스택 트레이스 확인.
• 패턴 예시: 커널 덤프 내 be_cmd_get_mac_from_list 함수 호출 시점의 RIP/EIP가 NULL 주소를 가리키는지 확인.

• 근본 해결: 영향받는 Linux Kernel 버전을 최신 패치 버전으로 업데이트하여 pmac_id에 stub 변수 주소를 전달하도록 수정된 코드를 적용함.
• 즉시 조치: 해당 네트워크 카드(be2net)를 사용하지 않는 환경이라면 관련 커널 모듈을 블랙리스트(blacklist) 처리하여 로드되지 않도록 설정함.
• 우선순위 결정 논리: CVSS 5.5, non-KEV, 낮은 EPSS 및 높은 악용 난이도(hard)를 근거로 'monitor' 등급으로 분류하며, 즉시 패치보다는 가용성 모니터링 우선 권고.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None