[단독분석] 분석 — CVE-2026-31768

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

공격자는 로컬 계정(권한 낮음)으로 해당 디바이스에 접근해 spi_read() 호출을 유도합니다. 기존 구현은 스택 메모리를 사용했으며, DMA가 이 버퍼를 참조하면서 메모리 손상이 발생할 수 있어 커널 코드 실행 권한을 획득하게 됩니다. 사용자 개입이 필요 없고 복잡도가 낮아(AV:L/AC:L/PR:L/UI:N) 공격 단계는 ① 디바이스 열기 ② SPI 읽기 트리거 ③ DMA‑관련 메모리 오염 ④ 커널 권한 상승 순으로 진행됩니다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 공격자가 로컬에서 물리적 또는 루트 권한을 확보해야 하며, 복잡도는 낮지만(AC:L) DMA‑safe 메모리를 할당할 수 있는 환경이 필요함을 의미합니다. PR:L에 해당하는 로컬 특권 요구 때문에 원격에서 직접 이용하기는 매우 어렵고, UI:N은 사용자 개입 없이 자동으로 진행될 수 있음을 나타냅니다. EPSS = 0.00129라는 실측값은 현재 관찰된 악용 가능성이 극히 낮지만 완전히 배제되지 않으며, KEV에 등재되지 않은 점은 아직 공개적으로 확인된 야생 악용 사례가 없다는 것을 의미합니다. 이 취약점은 Linux 커널의 iio:adc:ti‑adc161s626 드라이버에서 SPI read() 호출 시 스택 메모리를 사용하던 부분이 DMA‑safe 버퍼로 교체되지 않아 발생하며, 공격 표면은 해당 ADC 칩

• 기술적 위험: 성공 시 로컬 시스템 전체를 장악할 수 있으며, 기밀·무결·가용성 모두에 심각한 영향을 미칩니다(CVSS 7.8, C/H/I/A = H).
• 비즈니스 리스크: 핵심 인프라(서버·임베디드 디바이스)에서 커널이 손상되면 서비스 중단, 데이터 유출, 규제 위반(PCI‑DSS·HIPAA 등) 및 고객 신뢰 하락이 발생할 수 있습니다.
• 영향 제품·노출 규모: 다중 소스 교차검증 결과 [교차검증] 다수의 Linux 커널 버전(4.9‑6.1.168, 6.2‑6.6.134, 6.7‑6.12.81, 6.13‑6.18.22, 6.19‑6.19.12 등)에서 동일 취약점이 확인되었습니다. 따라서 주요 배포판·클라우드 이미지·임베디드 시스템에 광범위하게 노출될 가능성이 높습니다(품질 신호 → 공급망 영향 확대).

유사한 DMA‑버퍼 부적절 사용으로 인한 커널 권한 상승 사례가 다른 IIO·SPI 드라이버에서도 보고된 바 있습니다. 이러한 패턴을 이용해 공격자는 추가적인 로컬 익스플로잇(예: 메모리 할당 스프레이)과 결합해 보다 정교한 악성코드 삽입이 가능할 수 있습니다.

• 커널 로그에서 spi_read() 호출 시 DMA‑safe 버퍼 할당 실패 또는 비정상적인 오버플로우 경고가 기록되는 경우.
• LSM/SELinux audit 로그에 해당 디바이스 노드(ti-adc161s626)에 대한 비특권 사용자 접근이 발생하면 의심 신호로 활용.
• 시스템 모니터링 툴에서 예기치 않은 커널 oops·panic이 발생한 시점을 spi 서브시스템과 연계해 탐지할 수 있습니다.

1. 패치 적용: upstream Linux kernel 패치를 즉시 배포하고, 배포판 제공 업데이트를 신속히 설치합니다(근본 해결).
2. 모듈 제한: 해당 드라이버(ti_adc161s626)가 필요하지 않은 경우 modprobe -r ti_adc161s626 혹은 udev 규칙으로 디바이스 노드 접근을 차단합니다.
3. 권한 최소화: /dev/iio:* 경로에 대한 권한을 제한하고, SELinux/AppArmor 정책을 강화해 비특권 사용자의 접근을 방지합니다.
4. 모니터링 강화: 위 탐지 항목을 SIEM에 연동하여 실시간 알림을 설정하고, DMA‑버퍼 할당 오류가 반복되는 경우 추가 조사합니다.

※ EPSS 0.00129(실측값)·[실측 악용예측]은 현재 악용 가능성이 낮지만, CVSS 7.8과 로컬 권한 상승 특성으로 인해 우선순위는 “이번 주 내 scheduled”로 결정되었습니다([우선순위 결정] → CVSS·non‑KEV·EPSS·exploit hard).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None