[분석가] 분석 — CVE-2026-31496

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 로컬 사용자가 proc 파일시스템을 통해 /proc/net/nf_conntrack_expect 를 열고 현재 네임스페이스와 다른 netns 에 존재하는 기대(expectation) 정보를 읽으려 할 때, 커널이 해당 엔트리를 건너뛰도록 구현된 코드가 오동작함.
• 이 오동작은 커널 내부 연결 추적 구조를 손상시켜 OOPS 또는 패닉을 일으키고, 결과적으로 시스템 전체 가용성을 상실(DoS)하게 됨.
• 공격 전제: 로컬 권한(Low privilege)·로컬 접근(Local)이며, UI가 필요 없으며 복잡도는 낮음(AV:L/AC:L/PR:L/UI:N).

악용 가능성: 이 취약점은 로컬 환경에서 /proc 파일을 통해 Netfilter nf_conntrack_expect 구조를 조작할 수 있는 권한(Low Privileges)이 필요합니다. CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 따라 공격자는 시스템에 직접 접근하고, 복잡도가 낮으며 사용자 인터페이스가 요구되지 않지만, 네트워크 네임스페이스를 전환하거나 생성할 수 있어야 하므로 실제로는 로컬 권한이 제한된 일반 사용자가 이용하기 어렵습니다. EPSS 값 0.00123은 현재 관측된 악용 사례가 매우 희박함을 나타내며, KEV 리스트에 등재되지 않은 점도 실전 위협이 거의 없다는 근거가 됩니다. 공격 표면은 /proc/sys/net/netfilter/nf_conntrack_expect_* 와 같은 procfs 엔드포인트에 국한되며, 해당 파일이 노출된 시스템에서만 영향을 받습니다. 따라서 이 취약점의 악용 가능성은 로컬 권한을 가진 사용자가 네임스페이스를

• 기술적 위험
  • Availability만 영향을 받으며(C:N I:N A:H) 커널 패닉·재부팅을 유발해 서비스 중단이 발생함.
  • 동일 호스트 커널을 공유하는 컨테이너, 가상머신(VM) 등에서도 동일하게 적용되며, 멀티‑테넌시 환경에서 한 테넥스의 프로세스가 다른 네임스페이스의 기대 정보를 읽으려 할 경우 공격 표면이 확대됨.
• 비즈니스 리스크
  • 서비스 가용성 손실 → SLA 위반·고객 신뢰도 저하.
  • 클라우드/컨테이너 호스트에서 발생 시 다수 고객에게 연쇄적인 영향 가능, 규제·컴플라이언스 관점에서는 “서비스 지속성” 위협으로 평가될 수 있음.
• 영향 제품 및 노출 규모
  • Linux kernel 2.6.28.1‑6.1.168, 6.2‑6.6.131, 6.7‑6.12.80, 6.13‑6.18.21, 6.19‑6.19.11 등 8개 버전대에 포함(다중 소스에서 일관성이 확인됨).
  • 이 범위는 대부분의 서버·클라우드·임베디드 Linux 배포판에 해당하므로 광범위한 노출 가능성 존재.

• 동일 코드 경로인 netfilter: conntrack 에서 다른 netns 의 conntrack 엔트리를 /proc 로 덤프하지 못하도록 하는 이전 패치(e77e6ff502ea)와 연관된 설계 결함.
• 이 취약점을 이용해 커널 내부 구조를 교란한 뒤, 별도의 권한 상승(예: CVE‑2022‑XXXX)이나 파일시스템 마운트 탈취 등으로 체이닝할 가능성은 현재 확인되지 않음.

• 커널 로그: nf_conntrack_expect 관련 OOPS/BUG 메시지 또는 “unexpected netns” 와 같은 문자열이 auditd/syslog에 기록될 경우.
• 시스템 콜 모니터링: procfs 에 대한 open/read 호출(path=/proc/net/nf_conntrack_expect)이 비정상적인 UID/GID 혹은 네임스페이스 조합에서 발생하면 경보 생성.
• 컨테이너 런타임: K8s/CRI‑O 등에서 procfs 마운트 옵션(hidepid=2) 적용 여부와 함께, 컨테이너 내부에서 해당 파일에 접근 시도 로그를 수집.

• 즉시 조치
  • 영향을 받는 커널 버전에 대해 배포된 보안 패치를 신속히 적용하고, 시스템 재부팅으로 새로운 커널을 로드한다.
  • procfs 접근 제한: 필요 시 mount -o hidepid=2 /proc /proc 또는 seccomp‑bpf 프로파일로 /proc/net/nf_conntrack_expect 읽기를 차단한다.
• 근본 해결
  • 장기적으로는 최신 LTS 커널(6.19 이상)으로 업그레이드하고, 컨테이너/VM 호스트에서 네임스페이스 격리를 강화한다(예: userns, pidns 적용).
  • 모니터링 정책을 보강하여 위 탐지 지표를 SIEM에 연동하고, 비정상적인 proc 접근 시 자동 알림 및 차단 워크플로우를 구축한다.

우선순위 판단 근거: 다중 소스 교차검증 결과 일관된 취약점 정보(CVSS 5.5, EPSS 0.00123)와 KEV 미등재·exploit 난이도 ‘hard’에 따라 기본적으로 “monitor” 수준으로 분류했지만, 컨테이너/멀티‑테넌시 환경에서는 가용성 위험이 비즈니스에 직접적인 영향을 미치므로 패치를 최우선 적용하는 것이 권고된다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None