[방어] 분석 — CVE-2025-71114

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

본 취약점은 via_wdt 드라이버가 MMIO 영역을 예약할 때 allocate_resource() 함수에 리소스 이름을 지정하지 않아 발생합니다. 이로 인해 x86 플랫폼의 /proc/iomem 내에 <BAD> 표시가 된 유효하지 않은 엔트리가 생성됩니다. 공격자가 로컬 권한(AV:L, PR:L)을 가지고 시스템 부팅 과정이나 리소스 조회 시점에 영향을 줄 수 있다면, 커널의 리소스 트리 충돌 체크 로직이 해당 무명(unnamed) 리소스를 처리하지 못해 시스템이 완전히 멈추는 Critical Hang 상태에 빠지게 됩니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터상 AV:L과 PR:L 조건으로 인해 공격자가 이미 시스템에 로컬 계정 권한을 획득한 상태여야 하며, 커널 리소스 할당 단계의 결함을 트리거해야 하므로 진입 장벽이 높습니다. 특히 EPSS 수치가 0.00123으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 이 취약점이 이론적 심각성과 달리 실제 야생(In-the-wild)에서 공격 도구로 활용될 가능성이 희박함을 시사합니다. 공격 표면은 Linux 커널의 via_wdt 드라이버 내 allocate_resource() 함수를 통한 MMIO 리소스 할당 과정에 국한됩니다. 트리거 조건은 부팅 과정 중 이름 없는(unnamed) 리소스가 /proc/iomem에 등록되어 <BAD> 엔트리가 생성되는 상황이며, 이는 특정 하드웨어 환경과 드라이버 로드 시점에 의존적입니다. 결과적으로 본 취약점은 원격 제어권을 탈취하는 공격보다는 시스템 가용성을 저해하는 Boot Hang(부팅 중단) 형태의 DoS 가능성에 집중되어 있습니다.

• 가용성 상실: CVSS 벡터(A:H)에서 나타나듯, 주된 위험은 서비스 거부(DoS)입니다.
• 부팅 불가: 커널 리소스 트리의 무결성 훼손으로 인해 부팅 단계에서 시스템이 정지될 수 있습니다.

특정 하드웨어 드라이버의 리소스 관리 미흡으로 인한 가용성 저하 패턴입니다. 로컬 권한을 이미 획득한 공격자가 시스템 전체를 마비시켜 보안 솔루션의 작동을 방해하거나, 특정 서비스의 가동 중단을 유도하는 DoS 체이닝에 이용될 수 있습니다.

본 취약점은 실행 시점보다 상태(State) 확인이 중요합니다.

• 로그 및 지표:

  • /proc/iomem 파일 내 <BAD> 문자열 존재 여부 확인.
  • 커널 로그(dmesg)에서 via_wdt 관련 리소스 할당 오류 또는 부팅 중 정지 현상 기록.

• 탐지 규칙 예시:

  1. 파일 시스템 스캔 (Shell/Script):
     grep -q "<BAD>" /proc/iomem && echo "Vulnerable Resource Detected"
  2. SIEM 쿼리 (의사코드):
     SELECT host, timestamp FROM kernel_logs WHERE message LIKE '%via_wdt%' AND (message LIKE '%resource conflict%' OR message LIKE '%hang%')
  3. 정규식 패턴: /<BAD>\s+.*(VIA|watchdog)/ (iomem 덤프 분석 시)

• 오탐 튜닝 및 시나리오:

  • 다른 드라이버에서도 유사한 무명 리소스 할당이 발생할 수 있으므로, 반드시 /proc/iomem의 <BAD> 항목과 via_wdt 모듈 로드 여부를 교차 확인해야 합니다.

다중 소스 데이터 일관성이 확인되었으며(신뢰도 1.0), EPSS 수치가 0.00123으로 매우 낮고 exploit 등급이 hard인 점, KEV 미등재 상태임을 고려하여 우선순위를 monitor로 결정하였습니다. 하지만 영향 범위가 광범위하므로 아래 단계를 권장합니다.

• 즉시 (긴급 차단):

  • 조치: 커널 부팅 파라미터에 modprobe.blacklist=via_wdt를 추가하여 해당 드라이버 로드를 원천 차단합니다.
  • 난이도/영향: 낮음 / VIA Watchdog 기능을 사용하지 않는 서버라면 운영 영향 없음.
  • 검증: lsmod | grep via_wdt 명령어로 모듈이 로드되지 않았는지 확인.

• 단기 (완화):

  • 조치: /etc/modprobe.d/blacklist.conf에 blacklist via_wdt 설정 추가.
  • 난이도/영향: 낮음 / 부팅 후 모듈 로드를 방지하여 런타임 중 행 발생 가능성 감소.
  • 검증: modprobe via_wdt 실행 시 거부되는지 확인.

• 근본 (해결):

  • 조치: 영향받는 커널 버전(3.3.1 ~ 6.18.3 등)에서 해당 패치가 적용된 최신 메인라인 커널 또는 배포판 업데이트 버전으로 업그레이드.
  • 난이도/영향: 높음 / 커널 업데이트 후 재부팅 필수, 드라이버 호환성 테스트 필요.
  • 검증: 패치된 버전의 소스 코드에서 allocate_resource() 호출 시 이름 인자 전달 여부 확인 또는 /proc/iomem 내 <BAD> 항목 사라짐 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None