[방어] 분석 — CVE-2023-52927

• 심각도 high · CVSS 7.8 · EPSS 0.00303 · 악용난이도 hard

Linux 커널의 nf_conntrack_in() 함수가 nf_ct_find_expectation()을 호출하면서, 기대(expectation) 엔트리를 해시 테이블에서 삭제합니다. 특정 환경(예: OVS 및 TC conntrack)에서는 생성된 연결 추적(connection tracking) 객체가 확인되지 않을 경우에도 expectation이 남아 있어야 합니다. 패치 전 상태에서는 이 로직 오류로 인해 메모리 오염(memory‑corruption)이 발생하고, 공격자는 특수히 조작된 패킷을 전송해 커널 주소 공간을 덮어쓰면서 권한 상승(root) 또는 서비스 거부(DoS)를 수행할 수 있습니다.

악용 가능성: 이 취약점은 AV:L(로컬) + AC:L(낮은 복잡도) + PR:L(낮은 권한) + UI:N(사용자 개입 없음) 이라는 CVSS 벡터가 의미하듯, 공격자는 로컬 시스템에 접근해 최소 권한(CAP_NET_ADMIN 수준)만으로 악용이 가능합니다. 그러나 hard 등급이 부여된 이유는 nf_ct_find_expectation 함수 내부의 기대(expectation) 삭제 로직을 조작하려면 커널 모듈이나 OVS/TC와 같이 conntrack 상태를 직접 다루는 고특권 프로세스가 필요하기 때문이며, 이는 일반 사용자 수준에서는 구현이 매우 어렵습니다. EPSS 0.00303이라는 실측값은 현재 전 세계적으로 실제 공격 시도가 거의 없음을

• 기밀성(C): 루트 권한 획득 시 시스템 전체 파일·프로세스에 접근 가능 → 기밀 데이터 전면 유출 위험.
• 무결성(I): 커널 구조를 임의로 수정해 악성 코드 삽입·시스템 서비스 변조 가능.
• 가용성(A): 메모리 손상으로 커널 패닉이 발생하면 서비스 중단(DoS) 발생.

영향 제품은 Linux kernel 5.18‑6.1.130, 6.2‑6.6 및 Debian linux 파생 배포판이며, 해당 버전을 실행 중인 모든 호스트가 위험에 노출됩니다.

• Netfilter/conntrack 계열 메모리 손상: 과거 CVE‑2022‑2589(nf_conntrack heap overflow)와 유사하게, 공격자는 먼저 비특권 네트워크 인터페이스에 패킷을 주입해 conntrack 엔트리를 생성하고, 이어서 기대(expectation) 오브젝트를 조작해 메모리 손상을 일으킬 수 있습니다.
• EVIL‑PACKET 체이닝: 로컬 권한 상승 후 CVE‑2023‑XXXX(privileged module load) 등을 연계하면 원격 코드 실행까지 확장될 가능성이 존재합니다.

1. 로그 지표

   • dmesg / kernel.log에 "nf_ct_find_expectation: use after free" 혹은 "BUG: kernel NULL pointer dereference"와 같은 메시지가 기록됩니다.
   • auditd 이벤트 타입 CONFIG_CHANGE에서 sysctl net.netfilter.nf_conntrack_* 값이 비정상적으로 변동될 경우 탐지합니다.

2. SIEM 쿼리 예시 (Elastic Kibana)

 1 
 2## 🛡️ 완화 방안
 3벤더 패치 적용과 노출면 점검을 우선하세요.
 4 
 5## ⚖️ 위험도 / 우선순위
 6- 조치: scheduled (이번 주 내)
 7- 근거: CVSS=7.8 · non-KEV · EPSS=0.00303 · exploit=hard · in_scope=None