[단독방어] 분석 — CVE-2026-64531

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

• 로컬 프로세스가 Netlink을 통해 OVS에 flow action을 전송할 때 nla_len(u16) 한도를 초과하는 중첩 컨테이너를 포함시킵니다.
• 커널은 잘린 nla_len 값을 그대로 사용해 이후 바이트들을 독립적인 액션으로 오해하고, 구조가 뒤틀려 메모리 손상·임의 코드 실행 혹은 OVS/네트워크 스택 패닉을 일으킵니다.
• 공격 전제는 로컬 접근 권한(Low)이며 사용자 입력 없이 자동화된 메시지만 전송하면 됩니다(AV:L/AC:L/PR:L/UI:N).

악용 가능성: 1. CVSS AV:L 은 공격자가 대상 시스템에 로컬로 접근해야 함을 의미하므로, 원격에서 바로 이용할 수 없고 물리적이거나 SSH·RDP 등으로 내부 네트워크에 침투한 뒤 진행해야 합니다.
2. AC:L 과 UI:N 가 결합된 결과는 공격 절차가 단순하고 사용자의 별도 행동 없이 자동으로 수행될 수 있음을 나타내며, 실제로는 커널 모듈이 로드된 상태에서 특수히 조작된 netlink 메시지를 전송하기만 하면 됩니다.
3. PR:L 은 공격자가 이미 낮은 수준의 권한(예: 일반 사용자)이라도 충분히 악용 가능하다는 뜻인데, Open vSwitch 의 nlattr 파싱 버그는 커널 공간에서 실행되는 OVS 드라이버가 해당 데이터를 검증하기 때문에, 일반 사용자는 ovs‑vsctl 등 특권이 필요한 도구를 통해 패킷을 조작할 수 있습니다.
4. EPSS=0.00129 은 현재까지 실제 악용 사례는 거의 없지만, 관측된 공격 가능성은 완전히 배제되지 않으며, 특히 내부 위협이나 침투 후 권한 상승 단계에서 사용될 위험이 존재합니다.
5. KEV 에 등재되지 않은 점은 아직 대규모 캠페인으로 확산되지 않았음을 의미하지만, “hard” 등급이 부여된 이유는 취약점 자체가 커널 내부 구조를 직접 변조해 메모리 손상을 일으킬 수 있어, 성공 시 시스템 전체의 신뢰성을 크게 위협하기 때문입니다.
6. 공격 표면은 Open vSwitch 가 제공하는 netlink 인터페이스와 OVS‑kernel 모듈이며, 특히 ovs-vswitchd 와 ovsdb-server 가 실행 중인 환경에서 사용자 정의 플로우를 삽입하거나 dump/teardown 명령을 통해 과도하게 큰 nested action attribute 를 전송할 수 있습니다.
7. 따라서 공격자는 로컬 권한(또는 낮은 특권)만으로 해당 netlink 메시지를 조작해, 커널 내부의 nlattr 길이 검증 우회를 달성하고 임의 코드 실행이나 서비스 거부를 유발할 수 있는 조건을 갖추게 됩니다.

• Confidentiality: 커널 권한이 상승하면 메모리 내용 열람·수정 가능.
• Integrity: 손상된 flow action으로 데이터 구조를 변조해 임의 코드 실행 위험.
• Availability: 파싱 오류 시 OVS 혹은 전체 네트워킹 스택이 패닉하여 서비스 중단(DoS) 발생.

• 추정: CWE‑119와 유사한 Netlink attribute 길이 검증 누락이 eBPF, XDP 등 다른 커널 모듈에서도 연쇄적으로 악용될 가능성이 있습니다.
• 추정: OVS flow‑table 조작 취약점과 결합하면 권한 상승 후 트래픽 리다이렉션·차단 등 추가 침투 단계로 확장될 수 있습니다.

로그 지표

• kernel.log·dmesg : "ovs: nested action attribute length exceeds" 와 유사한 경고 메시지.
• ovs-vswitchd.log : invalid nla_len 혹은 action attr truncated 문구가 error 레벨에 기록됨.
• audit.log(auditd) : Netlink 소켓(OVS_DATAPATH, OVS_VSWITCHD) 사용 시 msg_len 값이 65535 바이트를 초과하면 type=NETLINK 이벤트가 남음.

SIEM 쿼리 예시 (Elastic/Kibana)

1. dmesg‑OVS 경고 탐지

 1index=linux-* "ovs.*nested action attribute length exceeds"
 2| stats count by host, @timestamp

1. ovs‑vswitchd 로그에서 비정상 nla_len 탐지(정규식)

 1index=ovs* message:/invalid\s+nla_len\s+(\d{5,})/
 2| eval len=extract("^.*invalid\\s+nla_len\\s+(\\d+).*$",1,message)
 3| where len > 65535
 4| stats count by host

1. audit 로그에서 과다 nlmsg_len 탐지

 1index=audit* event.type:NETLINK AND netlink.msg_len:>65535
 2| stats count by user, host

오탐 튜닝

• 정상적인 ovs-ofctl dump-flows 등 대규모 flow‑dump 시에도 큰 nla_len 값이 로그에 남을 수 있으므로 위 쿼리에서 message:*dump-flows* 를 제외합니다.
• 부팅 직후 커널 초기화 단계의 "ovs: initializing" 메시지는 시간 필터(@timestamp 가 부팅 후 5 분 이내)로 배제해 오탐을 감소시킵니다.

근거 인용
다중 소스 교차검증 결과 일관성이 확인되었으며(교차검증), EPSS=0.00129라는 실측 악용 확률이 낮음에도 CVSS 7.8·high 등급과 로컬 접근 용이성으로 우선순위가 “scheduled (이번 주 내)”로 결정되었습니다.

즉시(긴급 차단)

• openvswitch 커널 모듈을 언로드하고 블랙리스트에 추가합니다.
  • 실행: modprobe -r openvswitch → echo "blacklist openvswitch" >> /etc/modprobe.d/blacklist.conf
  • 구현 난이도 ★★, 운영 영향 – OVS 기반 가상 네트워크·브리지 기능 전체 중단, 서비스 재구성 필요.
  • 검증: lsmod | grep openvswitch 로 모듈 비활성 확인 후 ps aux | grep ovs-vswitchd 가 실행되지 않는지 점검.

단기(완화)

1. OVS 데몬에 중첩 액션을 비활성화하는 옵션(--no-nested-actions)이 제공되는 경우 해당 옵션으로 재시작하거나, 환경 변수 OVS_DISABLE_NESTED=1 로 설정합니다.
   • 구현 난이도 ★★, 영향 – 일부 고급 플로우 기능 제한, 데몬 재시작 필요.
   • 검증: 프로세스 명령줄에 옵션/변수가 포함됐는지 확인.
2. SELinux/AppArmor 정책을 강화해 netlink:ovs 소켓 접근을 audit_only 로 전환하고 비루트 사용자에게 차단합니다.
   • 구현 난이도 ★★★, 영향 – 관리 툴에서 권한 오류 발생 가능성, 정책 적용 후 ausearch -m AVC -ts recent 로 거부 이벤트 확인.

근본(해결)

• 커널 6.x 이상에 포함된 최신 패키지(패치가 반영된 linux-image-<ver>-openvswitch)로 업데이트하고 재부팅합니다.
  • 구현 난이도 ★★★★★, 운영 영향 – 시스템 재시작 필요, 서비스 중단 시간 확보 필수.
  • 검증: uname -r 로 커널 버전 확인 후 배포판 릴리즈 노트에서 CVE-2026-64531 패치 포함 여부 확인.

잔여 리스크
패치를 적용하기 전까지는 즉시 차단 외에 OVS 사용을 완전히 중지하지 않은 경우, 위 단기·근본 조치만으로 위험이 크게 감소하지만 이미 권한을 획득한 내부 공격자는 메모리 손상 가능성이 남아 있습니다. 인시던트 대응 시 ① 모듈 비활성 여부 ② OVS 로그 이상 징후 ③ audit 이벤트를 우선 확인하고, 필요 시 시스템 전체 재부팅·포렌식 수집을 수행하십시오.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None