[공격] 분석 — CVE-2026-23019

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

• 취약점 원리: prestera_devlink_alloc() 함수가 내부적으로 호출하는 devlink_alloc()이 메모리 할당 실패 시 NULL을 반환함. 그러나 이후 코드에서 이 반환값에 대한 NULL 체크 없이 즉시 devlink_priv()를 호출하여 역참조(Dereference)함으로써 커널 패닉(Kernel Panic)을 유발하는 전형적인 NULL pointer dereference 결함임.
• 공격 표면:
  • 대상: Marvell Prestera 네트워크 드라이버가 로드된 Linux 시스템.
  • 엔드포인트/인터페이스: devlink 설정 인터페이스 (예: /sys/class/devlink).
  • 함수 경로: prestera_devlink_alloc() $\rightarrow$ devlink_alloc() (Failure) $\rightarrow$ devlink_priv() (Crash).
• 공격 체인 및 전제 조건:
  1. 초기 접근: 공격자는 이미 시스템에 로그인한 상태여야 함 (AV:L).
  2. 권한 획득: devlink 관련 설정이나 하드웨어 제어 권한이 필요함 (PR:L). 일반 사용자가 아닌 관리자 혹은 특정 그룹 권한이 전제됨.
  3. 트리거(실행): 시스템의 가용 메모리가 극도로 부족한 상황을 강제로 조성하거나, 커널 메모리 할당자를 조작하여 devlink_alloc()이 반드시 실패하도록 유도함.
  4. 영향: NULL 포인터 역참조로 인한 즉각적인 시스템 크래시 및 DoS 발생 (A:H).
• CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N은 로컬 권한을 가진 사용자가 복잡한 조작 없이(Low AC) 단순한 인터페이스 호출만으로 시스템을 다운시킬 수 있음을 의미함.

악용 가능성: 본 취약점은 AV:L 및 PR:L 조건에 따라 이미 시스템 내부에 낮은 권한의 계정으로 접근한 공격자가 로컬 환경에서 트리거할 수 있는 결함입니다. 공격 표면은 Linux 커널의 Marvell Prestera 네트워크 드라이버 내 prestera_devlink_alloc() 함수이며, 구체적으로는 devlink 관련 설정이나 제어를 수행하는 엔드포인트 및 시스템 호출을 통해 진입합니다. 다만, 취약점의 트리거 조건이 메모리 할당 실패(devlink_alloc() return NULL)라는 비결정적 상황에 의존하므로, 공격자가 의도적으로 커널 메모리 압박(Memory Pressure) 상태를 유도해야 하는 까다로운 전제조건이 붙습니다. EPSS 수치가 0.00115로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서 이 결함만으로 공격이 성공한 사례가 드물며, 단순 Crash 유발을 넘어선 권한 상승으로의 연결 난이도가 높음을 시사합니다. 결과적으로 AC:L임에도 불구하고 메모리 상태 제어라는 외부 변수 때문에 실전 악용 가능성은 낮으며, 주로 서비스 거부(DoS) 형태의 커널 패닉을 유도하는 방향으로 작용할 확률이 큽니다.

• 가용성 상실 (DoS): 커널 레벨에서 발생하는 패닉으로 인해 시스템이 즉시 중단됨. 네트워크 장비나 서버의 경우 서비스 전체 중단으로 이어짐.
• 데이터 무결성/기밀성: C:N/I:N으로, 정보 유출이나 권한 상승(LPE) 가능성은 낮으며 오직 가용성 파괴에 집중된 취약점임.

• 취약점 체이닝 경로 (추정):
  • 단독으로는 DoS에 그치지만, [메모리 압박 유도 $\rightarrow$ NULL Dereference $\rightarrow$ 커널 패닉] 구조를 가짐.
  • 추정: 만약 시스템에 특정 메모리 레이아웃을 제어할 수 있는 다른 취약점이 존재한다면, 단순 크래시가 아닌 실행 흐름 제어로 이어질 가능성을 탐색하겠으나, 본 결함의 특성상 NULL 주소 접근은 대부분의 현대 커널에서 즉각적인 패닉으로 처리되므로 RCE/LPE로의 체이닝은 매우 어려울 것으로 판단됨.
  • 추정: 다른 로컬 권한 상승(LPE) 취약점과 결합하여, 관리자 권한을 획득한 후 시스템 전체를 무력화하는 '최종 파괴 단계'로 활용될 수 있음.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 NULL pointer dereference 및 prestera_devlink_alloc 관련 Call Stack이 포함된 Kernel Oops/Panic 메시지 감시.
• 비정상 메모리 패턴: 특정 프로세스가 짧은 시간 내에 과도한 커널 메모리 할당 시도를 하여 시스템 전체의 OOM (Out Of Memory) 상태를 유발하는 행위 탐지.

• 근본 해결: 영향받는 Linux 커널 버전(5.10.1~6.18.6 등 다수 범위)을 최신 보안 패치가 적용된 버전으로 업데이트. (devlink_alloc() 반환값에 대한 NULL 체크 로직 추가 패치 적용).
• 즉시 조치: devlink 인터페이스에 접근 가능한 권한(Privileged user)을 최소화하고, 불필요한 Marvell Prestera 드라이버 로드 제한.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 [교차검증] 결과를 바탕으로 작성되었습니다. 실측 EPSS 값(0.00115)과 백분위(0.01785)가 매우 낮고, KEV 미등재 및 AV:L 조건 등을 고려하여 규칙 기반 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도(CVSS 5.5)보다 실제 야생에서의 악용 가능성이 현저히 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None