[단독분석] 분석 — CVE-2025-21655

• 심각도 high · CVSS 7.8 · EPSS 0.00246 · 악용난이도 hard

이 취약점은 io_uring/eventfd 경로에서 발생합니다. RCU 콜백 내부에서 io_eventfd_do_signal()이 호출된 뒤, 참조 카운트가 0이 되면 io_eventfd_free()를 즉시 실행하는데, 이는 아직 안전하지 않은 시점이며 또 다른 RCU 그레이스 기간을 기다려야 합니다. 공격자는 로컬 사용자 권한(L)으로 해당 시스템 콜을 트리거해 조기에 메모리를 해제하고 Use‑After‑Free 상태를 만들 수 있으며, 이를 이용해 커널 코드 실행 및 전체 시스템 장악이 가능합니다. 네트워크 접근(AV:L)이 필요 없고, 사용자의 직접적인 상호작용(UI:N)도 요구되지 않으며 권한 요구(PR:L)가 낮습니다.

악용 가능성: 이 취약점은 AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 개입 없음)이라는 CVSS 벡터가 의미하듯, 공격자는 로컬에 접근할 수 있는 계정만 있으면 추가적인 환경 설정 없이 바로 악용이 가능합니다. 실제로는 Linux 커널의 io_uring 구현에서 io_eventfd_do_signal() 이 RCU 콜백 내에서 직접 io_eventfd_free() 를 호출해 메모리를 해제하는 흐름을 이용하면, 아직 안전하지 않은 시점에 객체가 해제되어 권한 상승이나 서비스 거부(DoS) 효과를 얻을 수 있습니다. EPSS=0.00246이라는 값은 현재까지 관측된 악용 사례는 드물지만, 0.2 % 수준의 실현 가능성이 존재함을 보여주며, KEV에 등재되지 않은 점은 아직 대규모 야생 공격이 보고되지 않았다는 의미입니다. 이 취약점이 노출되는 공격 표면은 io_uring 시스템 콜 혹은 관련 ioctl 인터페이스를 통해 이벤트 파일 디스크립터(eventfd)를 생성·제어할 수 있는 모든 로컬 프로세스이며, 해당 커널 버전을 실행 중인 시스템이라면 모두 영향을 받습니다. 따라서 공격자는 로컬 권한이 낮은 계정으로도 io_uring 작업을 수행하여 RCU 콜백 경로를 트리거하고, 객체 해제 타이밍을 조작함으로써 커널 메모리 손상을 일으킬 수 있습니다. 이러한 조건이 충족될 경우 난이도는 hard(높은 위험도)으로 평가되지만, 실제 악용 가능성은 EPSS가 낮아 현재로서는 제한적이라고 판단됩니다.

• 기술적 위험
  • 조기에 해제된 io_ev_fd 객체에 대한 접근으로 커널 패닉이나 OOPS가 발생할 수 있습니다.
  • 성공적인 이용 시 공격자는 커널 레벨에서 임의 코드를 실행해 루트 권한을 획득하고, 시스템 전체를 장악하거나 메모리 내용을 탈취·조작할 수 있습니다.
• 비즈니스 리스크
  • 서비스 중단(가용성 저하) 및 재부팅 반복으로 운영 비용이 증가합니다.
  • 루트 권한 획득을 통한 데이터 유출·변조은 규제·컴플라이언스 위반 위험을 초래할 수 있습니다 (예: 개인정보보호법, PCI‑DSS).
  • 다수의 Linux 배포판에 포함된 커널(6.1‑6.1.125, 6.2‑6.6.72, 6.7‑6.12.10)에서 동일하게 영향을 받아 공급망 전반에 걸친 위험이 확대됩니다.
• 노출 규모
  • 위 제품군은 서버·클라우드·임베디드·IoT 등 다양한 환경에 널리 사용되므로, 해당 버전을 운영 중인 시스템 전체가 잠재적 대상이 됩니다.

다중 소스에서 일관성이 확인됐으며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS=0.00246은 실제 악용 가능성이 낮지만 존재함을 의미합니다. CVSS 7.8·non‑KEV·hard exploit 수준을 고려해 이번 주 내에 패치 적용이 권고됩니다([우선순위 결정] scheduled).

RCU 그레이스 기간을 제대로 기다리지 않아 메모리 해제 시점을 앞당기는 패턴은 과거 CWE‑416(Use‑After‑Free) 계열 커널 결함과 유사합니다. 동일한 시스템 콜(io_uring)을 이용하는 다른 권한 상승 취약점과 연계될 경우, 공격자는 초기 접근 후 추가적인 특권 상승 단계로 전이할 수 있습니다.

• dmesg·커널 로그에서 io_eventfd_do_signal, io_eventfd_free와 관련된 OOPS 또는 WARN 메시지 발생 여부.
• 비특권 사용자에 의한 io_uring/eventfd 시스템 콜 빈도 급증(감사 로그).
• RCU 스테이지 지연·스톨 경고(rcu_sched stall)와 동시에 메모리 해제 오류가 기록된 경우.

위 징후를 SIEM 또는 eBPF 기반 모니터링 툴에 연동해 실시간 알림을 설정합니다.

1. 패치 적용 – 배포판에서 제공하는 최신 커널(6.1 ≥ 6.1.126, 6.2 ≥ 6.2.73, 6.7 ≥ 6.12.11 등)으로 업데이트하고, 패키지 매니저를 통해 자동 보안 업데이트를 활성화합니다.
2. 백포트 – 최신 커널을 적용할 수 없는 경우, upstream 패치( io_eventfd_put() 사용)만을 소스에 직접 반영하여 재컴파일합니다.
3. 기능 제한 – io_uring·eventfd 사용이 불필요한 워크로드가 있다면 커널 부팅 옵션(io_uring.disabled=1)이나 보안 모듈(LSM)으로 해당 기능을 비활성화합니다.
4. 모니터링 강화 – 위 탐지 지표를 기반으로 로그 수집·분석 체계를 구축하고, 이상 징후 발생 시 즉시 대응 절차를 가동합니다.

위 조치를 통해 취약점 악용 위험을 최소화할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00246 · exploit=hard · in_scope=None