[방어] 분석 — CVE-2026-23010

• 심각도 high · CVSS 7.8 · EPSS 0.00182 · 악용난이도 hard

본 취약점은 inet6_addr_del() 함수 내에서 ipv6_del_addr()가 호출되는 순서가 잘못 배치되어 발생하는 Memory-Corruption(Use-After-Free)입니다.

1. 경로: 로컬 사용자가 IPv6 주소 삭제 요청을 수행합니다.
2. 촉발: mngtmpaddr 설정이 된 임시 주소를 처리하는 과정에서, 객체가 이미 해제된 후 해당 객체의 ifp->flags를 참조하려고 시도할 때 UAF가 발생합니다.
3. 단계: inet6_ioctl $\rightarrow$ addrconf_del_ifaddr $\rightarrow$ inet6_addr_del 순으로 호출되며, 잘못된 메모리 참조로 인해 커널 패닉(DoS) 또는 추정: 권한 상승(LPE)으로 이어질 수 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L과 PR:L에서 알 수 있듯, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근하여 로컬 쉘을 확보한 상태여야 합니다. 공격 표면은 Linux 커널의 IPv6 스택 내 inet6_addr_del() 함수이며, 구체적으로는 임시 주소(temporary addresses)를 삭제하는 과정에서 발생하는 inet6_ifaddr 구조체의 Use-After-Free(UAF) 지점이 트리거 조건입니다. 다만 AC:L인 만큼, 로컬 권한을 가진 공격자가 특정 네트워크 설정 변경이나 주소 삭제 요청을 정교하게 타이밍하여 유도한다면 이론적으로 커널 패닉이나 권한 상승으로 이어질 가능성이 있습니다. 하지만 EPSS 수치가 0.00182로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 현재 이 취약점을 이용한 실전 공격 사례가 희박하며 익스플로잇 구현 난이도가 높음을 시사합니다. 결과적으로 외부망에서 즉시 침투할 수 있는 경로는 없으며, 내부 침입 후 권한 상승을 노리는 2차 공격 단계에서만 악용 가능한 제한적인 위협입니다.

• 가용성: 커널 내 KASAN 리포트에서 확인되듯 Slab UAF가 발생하며, 이는 즉각적인 시스템 크래시 및 Kernel Panic을 유발하여 서비스 중단으로 이어집니다.
• 기밀성/무결성: 공격자가 메모리 레이아웃을 정교하게 제어할 수 있다면, 해제된 영역에 임의 데이터를 배치하여 커널 권한의 코드 실행(LPE)을 시도할 가능성이 있습니다.

• 유형: Memory-Corruption (CWE-416: Use-After-Free).
• 체이닝: 로컬 접근 권한(AV:L)이 필요하므로, 초기 침투(Initial Access)를 위한 다른 취약점과 체이닝되어 내부 권한 상승 단계에서 활용될 가능성이 높습니다.

본 취약점은 커널 내부 메모리 오류이므로 일반적인 애플리케이션 로그에는 남지 않으며, 시스템 로그 및 커널 덤프 분석이 필수적입니다.

• 로그 지표: /var/log/syslog, dmesg, 또는 journalctl -k에서 KASAN 리포트나 Kernel Oops 메시지를 확인합니다.
• 탐지 패턴 (SIEM/Log Analysis):
  • 패턴 1 (KASAN): BUG: KASAN: slab-use-after-free in inet6_addr_del 문자열 탐지.
  • 패턴 2 (Call Trace): 로그 내에 inet6_addr_del $\rightarrow$ addrconf_del_ifaddr $\rightarrow$ inet6_ioctl 순의 Call Stack이 포함되어 있는지 확인.
• 탐지 의사코드:
  sql복사

   1SELECT timestamp, hostname, message 
   2FROM kernel_logs 
   3WHERE (message LIKE '%slab-use-after-free%' AND message LIKE '%inet6_addr_del%')
   4   OR (message LIKE '%Kernel panic%' AND message LIKE '%net/ipv6/addrconf.c%')

• 오탐 튜닝: 정기적인 네트워크 설정 변경이나 IPv6 주소 갱신 작업 중 발생하는 일시적 오류인지 확인해야 합니다. 다만, slab-use-after-free라는 명확한 KASAN 메시지는 오탐 가능성이 매우 낮습니다.

다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00182 및 악용 난이도 'hard'를 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이는 실제 악용 사례가 드물고 로컬 권한이 필요하기 때문입니다.

• 즉시 (긴급 차단):

  • 조치: 비특권 사용자의 네트워크 설정 변경 권한 제한 (CAP_NET_ADMIN 권한 제어).
  • 난이도/영향: 낮음 / 특정 관리 도구의 동작에 영향을 줄 수 있음.
  • 검증: 일반 사용자 계정으로 ip addr del 명령 수행 시 Permission Denied 확인.

• 단기 (완화):

  • 조치: IPv6 사용이 불필요한 서버의 경우 커널 파라미터로 IPv6 비활성화 (sysctl -w net.ipv6.conf.all.disable_ipv6=1).
  • 난이도/영향: 낮음 / IPv6 기반 서비스 중단(가용성 영향).
  • 검증: ifconfig 또는 ip addr에서 IPv6 주소 제거 확인.

• 근본 (해결):

  • 조치: 영향받는 커널 버전(6.1.x, 6.6.x, 6.11.x, 6.12.x, 6.13.x 등)을 최신 패치 버전으로 업데이트.
  • 난이도/영향: 중간 / 시스템 재부팅 필요(서비스 일시 중단).
  • 검증: uname -r 명령어로 패치된 커널 버전 적용 확인.

잔여 리스크: 패치 이후에도 동일한 로직의 다른 함수에서 유사한 UAF가 존재할 가능성이 있으며, 이는 지속적인 커널 보안 업데이트 모니터링으로 대응해야 합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00182 · exploit=hard · in_scope=None