[공격] 분석 — CVE-2026-23087

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

이 취약점은 Linux 커널의 Xen scsiback 드라이버에서 메모리 해제 누락으로 인해 발생한다. 공격자는 시스템 자원을 고갈시켜 서비스 거부(DoS) 상태를 유도하는 것을 목표로 한다.

• 공격 표면 및 트리거:
  • 노출 지점: Xen 가상화 환경의 scsiback 모듈 내 scsiback_probe() 및 scsiback_remove() 함수.
  • 트리거 조건: struct vscsiblk_info 구조체가 할당된 후, 장치가 제거되거나(scsiback_remove) 프로브 과정에서 에러가 발생하여 경로를 이탈할 때 메모리가 해제되지 않고 잔류한다.
• 공격 체인 및 전제 조건:
  1. 초기 접근 (Initial Access): AV:L 및 PR:L 벡터에 따라, 공격자는 이미 시스템에 로그인한 로컬 사용자 권한을 가지고 있어야 한다.
  2. 정찰 및 실행 (Execution): 가상 SCSI 장치의 생성과 제거를 반복적으로 유도할 수 있는 인터페이스(추정: 가상 머신 설정 변경 또는 특정 드라이버 제어 명령)를 탐색한다.
  3. 자원 고갈 (Resource Exhaustion): scsiback_probe $\rightarrow$ scsiback_remove 사이클을 무한히 반복하여 커널 슬랩(Slab) 메모리에 vscsiblk_info 객체를 누적시킨다.
  4. 영향 (Impact): 가용 메모리가 고갈되면 OOM(Out-Of-Memory) Killer가 작동하거나 시스템 전체가 패닉 상태에 빠져 A:H(Availability High) 영향이 발생한다.
• 공격 조건 분석: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 낮은 복잡도로 로컬 권한만 있다면 즉시 실행 가능함을 뜻하지만, 실제 가상 장치 제어 권한이 일반 사용자에게 있는지에 따라 실현 가능성이 결정된다.

악용 가능성: 본 취약점은 Linux kernel의 scsiback 모듈 내 메모리 누수 결함으로, 공격 난이도는 Hard 수준입니다. CVSS 벡터 상 AV:L/PR:L 조건에 따라 공격자는 이미 시스템에 낮은 권한(Low Privilege)으로 접근해 있어야 하며, 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 Xen 가상화 환경의 SCSI 백엔드 인터페이스이며, 구체적으로는 scsiback_probe()와 scsiback_remove() 함수 간의 메모리 해제 누락 지점이 타겟입니다. EPSS 수치가 0.00123으로 매우 낮고 KEV에 등재되지 않은 점은, 이 결함이 즉각적인 RCE나 권한 상승으로 이어지는 직접적인 익스플로잇 경로가 희소함을 의미합니다. 다만, 공격자가 특정 장치를 반복적으로 생성 및 제거(Probe/Remove)할 수 있는 제어권을 가졌다면, 의도적인 메모리 고갈을 통해 시스템 가용성을 떨어뜨리는 DoS(Denial of Service) 형태로 악용될 가능성이 있습니다. 결과적으로 이론적 심각도보다는 리소스 소모를 통한 서비스 불안정화라는 제한적인 공격 시나리오가 실질적인 위협 요소입니다.

• 가용성 상실: 커널 메모리 누적으로 인한 시스템 응답 불가 또는 크래시(Kernel Panic).
• 서비스 중단: Xen 하이퍼바이저 기반의 가상 머신 환경에서 스토리지 백엔드 기능 마비.

본 취약점은 단독으로는 권한 상승이나 데이터 유출을 일으키지 않는 단순 Memory Leak이다. 하지만 다음과 같은 체이닝 경로가 추정된다.

• 추정: 메모리 파편화 $\rightarrow$ 힙 레이아웃 조작: 특정 크기의 메모리가 지속적으로 누수되면 커널 힙(Heap)의 레이아웃이 변한다. 이를 통해 다른 Heap Overflow나 Use-After-Free(UAF) 취약점의 페이로드를 정교하게 배치하는 'Heap Spraying' 보조 수단으로 활용될 가능성이 있다.
• 추정: DoS $\rightarrow$ 보안 메커니즘 무력화: 메모리 고갈 상태를 유도하여 커널의 특정 보안 모듈이나 로깅 시스템이 정상적으로 작동하지 못하게 만든 뒤, 다른 취약점을 공격하는 전략이 가능하다.

• 메모리 사용량 모니터링: slabtop 또는 /proc/slabinfo에서 vscsiblk_info와 관련된 슬랩 캐시 크기가 장치 제거 후에도 줄어들지 않고 지속적으로 증가하는지 확인.
• 커널 로그 분석: Xen 관련 드라이버의 프로브 에러 및 메모리 할당 실패 관련 dmesg 로그 패턴 감시.

• 근본 해결: 영향받는 커널 버전(3.18 ~ 6.18.8 등)을 최신 패치 버전으로 업데이트하여 scsiback_remove() 내 메모리 해제 로직 반영.
• 즉시 조치: 불필요한 Xen SCSI 백엔드 모듈의 로드를 제한하거나, 가상 장치의 빈번한 생성/삭제를 수행하는 비정상 계정 및 프로세스 차단.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00123)와 낮은 백분위(0.0244), 그리고 AV:L 벡터를 근거로 실제 악용 난이도를 'hard'로 판단하였다. 이에 따라 즉각적인 대응보다는 패치 적용 및 모니터링 중심의 'monitor' 우선순위를 결정하였다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None