[분석가] 분석 — CVE-2025-21655

• 심각도 medium · CVSS 4.7 · EPSS 0.00219 · 악용난이도 hard

(1) 트리거 조건: io_uring 인터페이스를 통해 eventfd를 사용하는 과정에서 발생합니다. 구체적으로 io_eventfd_do_signal()이 RCU callback 내에서 호출될 때, 참조 횟수(refcount)가 0이 되면 io_eventfd_free()를 직접 호출하여 객체를 즉시 해제하는 결함이 트리거됩니다. 이는 RCU grace period를 기다리지 않고 메모리를 해제함으로써 Use-After-Free(UAF) 또는 Memory Corruption을 유발합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 사용자 권한으로 시스템에 접속하여 io_uring 사용 가능 여부를 확인합니다.
• 실행: 특수하게 설계된 io_uring 요청을 통해 eventfd 신호를 발생시키고, RCU callback 타이밍에 맞춰 객체 해제를 유도합니다.
• 영향: 메모리 오염으로 인한 커널 패닉(Kernel Panic) 및 시스템 크래시를 유발합니다.
  (3) 공격 표면: Linux Kernel의 io_uring 서브시스템 및 eventfd 인터페이스.
  (4) CVSS 벡터 분석:
• AV:L (Local): 로컬 접근 권한이 필요함.
• AC:H (High): RCU grace period와 메모리 해제 타이밍을 정확히 맞추어야 하므로 실행 난이도가 높음.
• PR:L (Low): 낮은 수준의 사용자 권한으로도 트리거 가능함.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 io_uring 서브시스템 내 eventfd 처리 과정에서 RCU(Read-Copy Update) Grace Period를 적절히 대기하지 않고 객체를 즉시 해제하여 발생하는 Use-After-Free(UAF) 위험을 내포하고 있습니다. 공격 난이도는 Hard로 판정되며, 이는 CVSS 벡터 상 AV:L(Local) 및 AC:H(High)가 반영된 결과로, 공격자가 이미 시스템에 접근 권한(PR:L)을 가진 상태에서 매우 정교한 레이스 컨디션(Race Condition)을 유도해야 하기 때문입니다. 공격 표면은 Linux 커널의 io_uring 인터페이스와 eventfd 관련 시스템 콜 및 파라미터로 한정되며, 특정 타이밍에 RCU 콜백과 객체 참조 횟수 감소가 맞물려야 트리거됩니다. EPSS 수치는 0.00219로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아, 현재 야생에서의 실제 악용 사례는 미관측된 상태입니다. 따라서 이론적인 심각도와 달리 실제 악용 가능성은 낮으나, 권한 상승을 목표로 하는 정교한 로컬 공격자에게는 잠재적 타겟이 될 수 있습니다.

(1) 기술적 위험: Memory Corruption 유형의 취약점으로, 주된 결과는 시스템 가용성 상실(Denial-of-Service)입니다. 커널 메모리 영역의 오염으로 인해 전체 시스템이 중단되는 Kernel Panic이 발생할 수 있습니다.
(2) 비즈니스 영향:

• 서비스 가용성: 서버 인스턴스의 갑작스러운 다운타임으로 인한 서비스 중단 위험이 있습니다.
• 노출 규모: Linux kernel 6.1 ~ 6.12.10 범위의 광범위한 버전이 영향을 받으므로, 해당 커널을 사용하는 컨테이너 호스트 및 클라우드 인프라 전반에 잠재적 리스크가 존재합니다.

(1) 유형 및 패턴: 본 취약점은 RCU(Read-Copy-Update) 메커니즘의 오용으로 인한 Memory Corruption입니다.
(2) 체이닝 가능성: 추정: 단독으로는 DoS에 그칠 가능성이 높으나, 다른 커널 메모리 레이아웃 유출(Information Leak) 취약점과 체이닝될 경우, 정교한 Heap Spraying 기법을 통해 권한 상승(Privilege Escalation)으로 이어질 가능성을 배제할 수 없습니다.

(1) 로그 지표: /var/log/syslog 또는 dmesg에서 io_uring 관련 커널 덤프, General Protection Fault, 혹은 Kernel Panic 메시지를 확인합니다.
(2) 탐지 규칙 예시:

• 로직: 단일 프로세스가 짧은 시간 내에 비정상적으로 많은 수의 io_uring 및 eventfd 시스템 콜을 생성하는 패턴 감시.
• SIEM 쿼리(의사코드): SELECT host, user FROM syscall_logs WHERE syscall IN ('io_uring_setup', 'eventfd') GROUP BY user HAVING count(*) > [Threshold] WITHIN 1s
  (3) 오탐 시나리오 및 튜닝: 고성능 I/O 작업을 수행하는 정상적인 애플리케이션(DB, 고속 네트워크 스택 등)이 유사한 패턴을 보일 수 있습니다. 따라서 화이트리스트 기반으로 신뢰할 수 있는 바이너리를 제외하거나, 실제 커널 크래시 로그와 결합하여 탐지 정확도를 높여야 합니다.

• 즉시(긴급 차단): sysctl 설정을 통해 비특권 사용자의 io_uring 접근을 제한합니다. (kernel.io_uring_disabled = 1 또는 2 설정). [난이도: 낮음 / 운영 영향: 일부 최신 앱 성능 저하 가능성 / 검증: sysctl -a 확인]
• 단기(완화): 컨테이너 환경의 경우, Seccomp 프로필을 적용하여 io_uring 관련 시스템 콜(io_uring_setup, io_uring_enter)을 차단합니다. [난이도: 중간 / 운영 영향: 특정 컨테이너 기능 작동 불가 가능성 / 검증: strace를 통한 syscall 차단 확인]
• 근본(해결): 영향을 받는 커널 버전을 수정 버전으로 업데이트합니다. (6.1.126+, 6.6.73+, 6.12.11+ 등 해당 메이저 버전의 최신 패치 적용). [난이도: 중간 / 운영 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r로 커널 버전 확인]

[분석 근거 및 우선순위 결정]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00219, 백분위 0.12561)과 CVSS 점수(4.7), 그리고 AV:L/AC:H의 공격 조건을 종합하여 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도보다 실제 야생에서의 악용 가능성이 매우 낮고(EPSS 수치 근거), KEV에 등재되지 않은 'Hard' 등급의 취약점이기 때문입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=4.7 · non-KEV · EPSS=0.00219 · exploit=hard · in_scope=None