[공격] 분석 — CVE-2026-31752

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 공격 표면 및 트리거: bridge 모듈의 br_nd_send() 함수가 타겟이다. Neighbor Discovery(ND) 옵션의 길이를 검증하지 않고 처리하는 로직이 핵심 결함이다. 공격자는 option-provided lengths를 조작한 malformed ND option 패킷을 생성하여 커널 파서가 계산된 범위를 벗어나 메모리를 읽게 만들거나, LLADDR 옵션 페이로드를 실제 필요한 크기보다 짧게 구성해 Out-of-bounds(OOB) Read를 유도한다.
• 공격 체인 및 전제 조건:
  1. 정찰: 대상 시스템의 커널 버전과 bridge 모듈 활성화 여부를 확인한다. (영향 범위가 4.15부터 6.19까지 매우 광범위함)
  2. 초기 접근/권한: CVSS 벡터 AV:L/PR:L에 따라, 공격자는 이미 시스템에 로그인한 저권한 사용자(Low-privileged user)여야 한다. 네트워크 인터페이스에 raw socket을 생성하거나 특정 네트워크 설정을 변경할 수 있는 권한이 전제된다.
  3. 실행: 조작된 ND 옵션 패킷을 주입하여 br_nd_send()가 잘못된 메모리 영역을 참조하게 함으로써 커널 패닉(Kernel Panic)을 유발한다.
• 공격 지표: 시스템 로그(dmesg)에서 bridge 관련 kernel oops 또는 memory corruption 메시지가 관찰된다.

악용 가능성: 본 취약점은 AV:L 벡터가 의미하듯 공격자가 대상 시스템에 이미 로컬 접근 권한을 확보했거나, 네트워크 브리지 인터페이스에 직접 패킷을 주입할 수 있는 환경이어야 하므로 진입 장벽이 높습니다. 공격 표면은 Linux 커널의 bridge 모듈 내 br_nd_send() 함수이며, 구체적으로는 Neighbor Discovery(ND) 옵션의 길이를 조작한 악성 패킷을 생성하여 전송하는 것이 트리거 조건입니다. 잘못 구성된 ND 옵션 길이는 파서가 할당된 메모리 범위를 벗어나게 하거나(Out-of-bounds Read), 너무 짧은 LLADDR 페이로드를 참조하게 하여 커널 패닉이나 정보 유출을 야기할 수 있습니다. EPSS 점수가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점을 이용한 대규모 자동화 공격 도구가 부재하며, 실전에서의 악용 사례가 드물다는 것을 시사합니다. 하지만 AC:L과 PR:L 조건으로 인해, 일단 로컬 권한을 획득한 공격자가 커널 권한 상승(Privilege Escalation)을 위해 체이닝 경로로 활용할 가능성은 여전히 존재합니다. 결과적으로 이론적 심각도보다 실전 악용 난이도가 훨씬 높은 hard 등급의 취약점이며, 단순한 외부 네트워크 노출보다는 내부 침투 후의 포스트 익스플로잇 단계에서 위험 요소가 됩니다.

• 가용성 상실 (DoS): 잘못된 메모리 참조로 인한 커널 패닉이 발생하여 시스템이 즉시 중단된다. CVSS 벡터의 A:H가 이를 반영한다.
• 추정: 정보 유출: OOB Read 특성상, 특정 조건에서 커널 메모리의 일부 내용이 공격자에게 노출될 가능성이 있다.

• 메모리 오염 체이닝: 이 결함 자체는 A:H(가용성 저해)에 집중되어 있으나, OOB Read를 통해 커널 베이스 주소(KASLR bypass)를 획득할 수 있다면 다른 Memory Corruption 취약점과 체이닝하여 권한 상승(LPE)으로 이어질 수 있다.
• 추정: 체이닝 경로: 정보 유출(OOB Read) $\rightarrow$ 커널 주소 공간 파악 $\rightarrow$ 임의 쓰기(Arbitrary Write) 취약점 결합 $\rightarrow$ Root 권한 획득.
• 방어 우회: 커널 레벨에서 발생하는 로직 오류이므로, 사용자 공간의 보안 솔루션으로는 탐지가 어렵고 커널 패치만이 근본적인 방어책이다.

• 커널 로그 모니터링: br_nd_send 함수 호출 부근에서 발생하는 Segmentation Fault 또는 Kernel Panic 패턴을 감시한다.
• 네트워크 트래픽 분석: ND(Neighbor Discovery) 프로토콜 패킷 중 옵션 길이 필드가 비정상적으로 크거나, 실제 페이로드 크기와 불일치하는 패킷을 탐지하는 시그니처를 적용한다.

• 근본 해결: 영향받는 커널 버전(4.15 ~ 6.19 등)에 대해 배포된 최신 보안 패치를 적용하여 br_nd_send()의 옵션 길이 검증 로직을 업데이트한다.
• 즉시 조치: 불필요한 경우 bridge 모듈 사용을 제한하거나, 저권한 사용자의 raw socket 생성 권한(CAP_NET_RAW)을 제거하여 공격 경로를 차단한다.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었다. 실측 EPSS 값은 0.00129(백분위 0.02925)로 매우 낮으며, 이는 현재 실제 야생(Wild)에서 악용되는 사례가 드물고 익스플로잇 난이도가 높음(hard)을 의미한다. 따라서 CVSS 5.5 및 non-KEV 상태를 종합하여 우선순위를 monitor로 결정하였다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None