[공격] 분석 — CVE-2026-31546

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 전제 조건

  • 로컬 사용자가 시스템에 접근하고 있어야 함(프리빌리지 PR:L).
  • debugfs 파일시스템이 마운트돼 있고, /sys/kernel/debug/bonding/<iface>/rlb_hash(또는 유사 경로) 파일을 읽을 수 있는 권한이 존재해야 함. 기본 커널 설정에서는 대부분 읽기 권한이 전역에 허용되므로 일반 사용자도 트리거 가능함(동료 의견 DGX_1, DGX_B).

• 공격 표면

  • 노출 엔드포인트: bond_debug_rlb_hash_show가 바인딩된 debugfs 파일.
  • 파라미터/상태: 내부 리스트에 client_info->slave == NULL 인 항목이 존재할 때, 함수는 이를 검증 없이 접근한다.

• 공격 단계
  1️⃣ 정찰 – mount | grep debugfs 혹은 /proc/mounts 로 debugfs 마운트 여부 확인.
  2️⃣ 초기 접근 – cat /sys/kernel/debug/bonding/<iface>/rlb_hash 와 같이 파일을 읽음(읽기만으로 충분).
  3️⃣ 실행 – 해당 리스트에 NULL 슬레이브 항목이 있으면 커널은 주소 0x0 을 역참조해 Oops를 발생, 즉시 시스템 패닉(A:H).
  4️⃣ 영향 – 커널 패닉으로 인한 서비스 중단(DoS). 지속성이나 권한 상승은 제공되지 않음.

• 조건부 전제

  • rlb_clear_slave 로 인해 NULL 슬레이브 엔트리가 생성되는 상황은 “대체 슬레이브가 없을 때”이며, 이는 특정 bonding 구성에서만 발생한다(추정). 따라서 성공 확률은 환경에 따라 다름.

• CVSS ↔ 실제 조건 매핑

  • AV:L (로컬), AC:L (복잡도 낮음), PR:L (일반 사용자), UI:N (사용자 입력 없음) → 위 단계와 정확히 일치함.

악용 가능성: 이 취약점은 AV:L (로컬)·AC:L (낮은 난이도)·PR:L (특권 필요)·UI:N (사용자 상호작용 없음)이라는 CVSS 벡터가 의미하듯, 공격자는 로컬 시스템에 접근한 뒤 CAP_NET_ADMIN 또는 루트 권한을 확보해야 bond_debug_rlb_hash_show 디버그FS 파일을 읽어‑실행할 수 있습니다. PR:L 조건이 충족되지 않으면 해당 함수가 호출되지 않으므로, 일반 사용자나 원격 공격자는 직접 이용할 방법이 없습니다. EPSS 값 0.00129 는 실제 환경에서 이 결함이 악용된 사례가 극히 드물다는 통계적 근거이며, KEV에 등재되지 않은 점 역시 현재까지 실전 위협으로 전환되지 않았음을 뒷받침합니다. 공격 표면은 net/bonding 드라이버 내부의 bond_debug_rlb_hash_show 함수와 이를 노출하는 debugfs 엔드포인트이며, 파라미터는 별도 입력 없이 현재 커널 상태(슬레이브가 NULL인 RLB 해시 엔트리)만으로 트리거됩니다. 따라서 공격자는 먼저 시스템에 로컬 특권을 획득하고, 해당 디버그FS 파일을 열어 NULL 포인터 역참조를 유발해 커널 패닉(DoS)을 일으키는 단계적 절차가 필요합니다. 이러한 전제조건과 제한된 공격 면으로 볼 때, 난이도는 “hard”로 평가되며 실전 악용 가능성은 낮다고 판단됩니다.

• 성공 시 커널이 즉시 패닉하고 재부팅되거나 서비스가 중단돼 가용성이 완전히 상실됨(A:H).
• 데이터 손실·권한 상승은 발생하지 않으며, 공격 표면은 로컬 DoS에 국한된다.

• 직접적인 CVE와의 연계는 현재 보고되지 않았다(사실 기반).
• 일반적인 로컬 DoS 패턴과 동일하게, 이후 CAP_SYS_ADMIN 수준의 권한 상승 취약점이 존재한다면 재부팅 후 부트 시 실행되는 악성 스크립트를 삽입하는 형태로 연계될 수 있다(추정).
• CWE‑? (NULL 포인터 역참조) 유형에 해당하며, “디버그 인터페이스 노출 → 커널 패닉”이라는 전형적인 체인 패턴이다.

• dmesg·/var/log/kern.log 에 “BUG: kernel NULL pointer dereference” 와 함께 bond_debug_rlb_hash_show 문자열이 기록됨.
• auditd 규칙 예시: auditctl -w /sys/kernel/debug/bonding/ -p r -k bond_debug_read 로 읽기 이벤트를 모니터링하고, 해당 키가 발생하면 경보 생성.
• 시스템 재부팅 직후 journalctl -k | grep bond_debug_rlb_hash_show 로 OOPS 로그 수집 가능.

1️⃣ 즉시: debugfs 를 언마운트하거나 /sys/kernel/debug/bonding/*/rlb_hash 파일 권한을 0000 으로 설정해 일반 사용자의 읽기를 차단한다.
2️⃣ 패치 적용: 공급업체가 제공한 커널 패치를 포함하는 최신 커널(예: 6.7‑rc1 이후)으로 업데이트하고 재부팅 후 정상 동작 확인.
3️⃣ 자동 복구: kernel.panic 값을 설정해 OOPS 발생 시 자동 재부팅을 보장하고, 모니터링 시스템에 알림 연동.
4️⃣ 정책 수립: 전 인프라에서 debugfs 활성화 여부를 정기 점검하고, 필요 없는 경우 기본적으로 비활성화하도록 운영 정책을 마련한다.

교차검증 결과 다중 소스에서 일관성을 확인했으며, EPSS 0.00129(백분위 0.0292) 로 실제 악용 가능성이 낮지만 “hard” 난이도 평가와 CVSS 5.5 점수를 고려해 monitor 수준의 우선순위를 부여한다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None