[단독분석] 분석 — CVE-2025-71112

• 심각도 high · CVSS 8.8 · EPSS 0.00129 · 악용난이도 hard

VLAN 구성 메일박스를 VF(Virtual Function)에서 수신할 때, hns3 드라이버가 VLAN ID를 검증하지 않아 vlan_del_fail_bmap 배열 인덱스가 VLAN_N_VID(4096) 이상이 될 경우 메모리 경계를 벗어나게 된다.
공격자는 로컬 권한(Low privilege, PR:L)으로 특수하게 조작된 VLAN ID를 포함한 메일박스를 전달하면 커널 메모리를 손상시켜 임의 코드 실행 및 루트 권한 상승을 달성할 수 있다. (AV:L/AC:L/UI:N)

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 따라 이 취약점은 동일 호스트 내의 로컬 공격자가 VF(Virtual Function)에게 조작된 VLAN 설정 메일박스를 전송하기만 하면 충분히 악용할 수 있으며, 공격 복잡도와 권한 요구 수준이 모두 낮습니다. 실제 트리거 조건은 VLAN ID가 VLAN_N_VID(4096)를 초과하도록 구성된 메일박스를 VF에서 전달받는 것이며, 이때 길이가 고정된 vlan_del_fail_bmap 배열을 벗어난 메모리에 접근하게 됩니다. EPSS=0.00129이라는 실측 확률은 현재 악용 사례가 드물지만 존재 가능성을 수치화한 것으로, KEV에 등재되지 않았음에도 불구하고 잠재적 위협임을 뒷받침합니다. 공격 표면은 hns3 네트워크 드라이버의 VLAN ID 검증 로직이 누락된 부분으로, VF와 호스트 간 메일박스 인터페이스를 통해 외부에 노출됩니다. 따라서 동일 물리 서버 혹은 가상화 환경에서 다중 테넌트를 운영하는 경우, 악성 VF가 존재한다면 메모리 손상을 일으켜 서비스 거부 또는 권한 상승으로 이어질 수 있습니다. 이러한 조건을 충족시키는 공격자는 비교적 낮은 난이도로 취약점을 이용할 수 있으나, 실제 활용 가능성은 현재 관측된 사례가 적어 “hard” 등급이 유지됩니다.

• 기술적 결과: 성공적인 악용 시 커널 메모리 오염으로 전체 시스템에 대한 원격 코드 실행이 가능해지며, 기밀성(Confidentiality H), 무결성(Integrity H), 가용성(Availability H) 모두 심각하게 손상된다.
• 비즈니스 리스크:
  • 서비스 중단 및 복구 비용 증가 (가용성 위협).
  • 민감 데이터 노출·조작 위험으로 규제·컴플라이언스 위반 가능성.
  • 고객 신뢰도 하락 및 브랜드 이미지 손상.
• 영향 제품·범위: 다중 소스에서 일관성이 확인됐다([교차검증]). 영향을 받는 커널 버전은 5.3.1‑5.10.248, 5.11‑5.15.198, 5.16‑6.1.160, 6.2‑6.6.120, 6.7‑6.12.64, 6.13‑6.18.3 및 그 외 모든 linux_kernel 배포판으로, 광범위한 공급망에 걸쳐 있다([품질 신호]).

VLAN ID 검증 부재와 메모리 오염은 기존의 CWE‑124 (Out‑of‑bounds Write) 및 CWE‑787 (Out‑of‑bounds Read) 유형과 연계될 수 있다. 동일 드라이버나 다른 가상화 환경에서 발생하는 권한 상승 취약점(예: VF 관련 메모리 관리 버그)과 체이닝하여 초기 로컬 접근을 얻은 뒤 추가 권한 상승 단계로 활용 가능성이 있다.

• 커널 로그(dmesg, /var/log/kern.log)에서 hns3.*vlan_del_fail_bmap.*out of range 와 같은 메시지가 발생하면 의심.
  • 정규식 예시: hns3.*vlan_del_fail_bmap.*\b(index|out of range)\b
• kdump/crash dump에 BUG: out-of-bounds access와 함께 net/hns3 스택 트레이스가 포함된 경우.
• eBPF 또는 LSM(Audit) 정책으로 VLAN ID 값이 4095를 초과하는 Netlink 메시지를 기록하도록 설정 가능.

1. 즉시 조치: 배포된 최신 커널 패치를 적용하거나, 해당 버전보다 높은(패치 포함) 커널로 업그레이드한다.
2. 임시 회피: hns3 드라이버를 비활성화(modprobe -r hns3)하거나 VF 사용을 제한하여 메일박스 수신을 차단한다.
3. 보호 강화: SELinux/AppArmor 프로파일을 적용해 VF 관련 네트워크 기능에 대한 권한을 최소화하고, 로컬 사용자에게 불필요한 루트 권한을 부여하지 않는다.
4. 모니터링: 위 탐지 지표를 SIEM에 연동하여 실시간 알림을 설정한다.

우선순위는 이번 주 내에( scheduled ) 적용하도록 결정되었으며, 이는 CVSS 8.8·non‑KEV·EPSS 0.00129·exploit hard 라는 규칙 기반 판단([우선순위 결정])에 근거한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None