[분석가] 분석 — CVE-2025-21802

• 심각도 medium · CVSS 5.5 · EPSS 0.00199 · 악용난이도 hard

(1) 트리거 조건: hclge 드라이버와 hns3 드라이버가 동시에 언로드(Unload)되는 병렬 상황에서 발생합니다. hclge가 hnae3_ae_dev_list를 참조하여 SRIOV를 비활성화하려는 시점과, hns3가 모든 ae_dev 노드를 제거하는 시점이 겹칠 때 Race Condition이 트리거됩니다.
(2) 공격 단계:

• 전제조건: 로컬 시스템에 대한 낮은 수준의 권한(PR:L) 보유 및 해당 드라이버 로드 상태.
• 실행: hclge와 hns3 드라이버를 거의 동시에 언로드하는 명령을 실행하여 커널 내 동기화 결함을 유도합니다.
• 결과: 유효하지 않은 메모리 참조로 인한 Kernel Oops(시스템 크래시)가 발생하며 시스템이 중단됩니다.
  (3) 공격 표면: Linux Kernel의 hns3 및 hclge 네트워크 드라이버 인터페이스.
  (4) CVSS 벡터 분석:
• AV:L: 로컬 접근 필요.
• AC:L: 공격 복잡도가 낮음.
• PR:L: 낮은 수준의 권한이 필요함.
• UI:N: 사용자 상호작용 불필요.
• A:H: 가용성에 심각한 영향(System Crash).

악용 가능성: 본 취약점은 Linux kernel의 hns3 드라이버 내에서 발생하는 Race Condition으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L/PR:L 조건에 따라, 공격자는 시스템에 이미 낮은 권한의 계정으로 접근하여 로컬 실행 권한을 확보해야 하며, 특정 타이밍에 드라이버 언로드(hns3 및 hclge)를 병렬로 트리거해야 하는 정밀한 제어가 필요합니다. 공격 표면은 네트워크 인터페이스 카드(NIC) 드라이버의 관리 기능과 관련되어 있으며, 특히 SR-IOV 설정 변경이나 드라이버 제거와 같은 커널 모듈 조작 파라미터가 주요 타겟입니다. EPSS 수치는 0.00199로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 취약점을 이용한 공격 사례가 관측되지 않았음을 시사합니다. 따라서 이론적인 커널 패닉(oops) 유발 가능성은 존재하나, 실제 악용을 위해서는 로컬 권한 확보와 매우 희박한 타이밍 일치라는 까다로운 전제조건이 충족되어야 하므로 실질적인 악용 가능성은 낮습니다.

(1) 기술적 위험: 커널 패닉으로 인한 시스템의 즉각적인 중단(Denial of Service, DoS)이 발생합니다. 데이터 유출이나 권한 상승보다는 시스템 가용성 파괴에 집중된 취약점입니다.
(2) 비즈니스 영향: 해당 드라이버를 사용하는 서버나 네트워크 장비의 갑작스러운 다운타임으로 인해 서비스 중단 및 운영 연속성 저해가 발생할 수 있습니다. 다만, 로컬 권한이 필요하므로 외부망을 통한 직접적인 대규모 공격 가능성은 낮습니다.

추정: 본 취약점은 Race Condition으로 인한 Null Pointer Dereference 또는 Use-After-Free 패턴에 해당합니다. 단독으로는 가용성 저해(DoS)만 일으키지만, 추정컨대 다른 커널 메모리 오염 취약점과 체이닝될 경우 시스템 상태를 불안정하게 만들어 공격자가 원하는 특정 시점에 크래시를 유도하는 방식으로 활용될 수 있습니다.

(1) 로그 지표: /var/log/syslog, dmesg 또는 kern.log에서 hns3 및 hclge 모듈 언로드 직후 발생하는 Kernel Oops 메시지와 Stack Trace를 확인합니다.
(2) 탐지 규칙 예시:

• 로직: dmesg 로그 내에 "Oops", "Panic" 문자열과 함께 hnae3_ae_dev_list 또는 pci_disable_sriov 함수 호출 스택이 포함된 경우 탐지.
• 정규식 예시: /(?:Oops|Panic).*hns3.*(?:hnae3_ae_dev_list|pci_disable_sriov)/i
  (3) 오탐 시나리오 및 튜닝: 하드웨어 결함이나 다른 드라이버 충돌로 인한 Oops가 발생할 수 있습니다. 탐지 범위를 hns3/hclge 모듈 언로드 이벤트 직후의 시간 윈도우 내에서 발생하는 크래시로 한정하여 튜닝합니다.

• 즉시(긴급 차단): 불필요한 경우 hns3, hclge 드라이버의 로드를 제한하거나, 관리자 외에는 모듈 언로드 권한(modprobe -r)을 제한합니다. (난이도: 저 / 영향: 낮음 / 검증: lsmod 확인)
• 단기(완화): 시스템 관리자가 드라이버 업데이트 전까지 병렬로 드라이버를 언로드하는 스크립트나 자동화 도구의 실행을 지양합니다. (난이도: 저 / 영향: 매우 낮음 / 검증: 운영 프로세스 점검)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업데이트합니다. (영향 제품 범위: 4.19.214~6.12.13 등 명시된 버전 확인 후 패치 적용). 본 리포트는 다중 소스 교차검증을 통해 일관성이 확인되었으며, EPSS 0.00199 및 exploit=hard 등 실측 기반 낮은 악용 가능성을 근거로 우선순위를 monitor로 결정하였습니다. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r 버전 확인)

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00199 · exploit=hard · in_scope=None