[공격] 분석 — CVE-2026-22976

• 심각도 미상 · CVSS 미상 · EPSS 0.00118 · 악용난이도 hard

(1) 트리거 조건: net/sched 모듈의 sch_qfq에서 서로 다른 두 개의 QFQ qdisc 객체가 동일한 leaf_qdisc를 공유할 때 발생함. 루트 QFQ qdisc를 통해 패킷을 큐잉하여 leaf_qdisc->q.qlen > 0 상태를 만든 후, 동시에 다른 QFQ qdisc가 파괴(qdisc_destroy)되는 과정에서 qfq_reset 함수가 비활성 aggregate를 잘못 비활성화하며 NULL pointer를 참조함.

(2) 공격 단계:

• 정찰: 타겟 시스템의 커널 버전 및 QFQ 스케줄러 사용 여부 확인.
• 초기 접근: 네트워크 설정 권한(CAP_NET_ADMIN)을 가진 사용자 계정 확보 또는 해당 권한을 가진 프로세스 제어. (추정: 로컬 공격자 시나리오가 유력)
• 실행:
  1. 루트 QFQ qdisc 생성 및 패킷 전송 $\rightarrow$ leaf_qdisc의 qlen 증가.
  2. 임시 QFQ qdisc(예: tc_new_tfilter 과정 중 생성)를 빠르게 생성 및 삭제 유도.
  3. qfq_reset 내에서 잘못된 조건 판단으로 qfq_deactivate_agg 호출 $\rightarrow$ NULL pointer dereference 발생.
• 영향: 커널 패닉(Kernel Panic)으로 인한 시스템 즉시 중단.

(3) 공격 표면: Linux Kernel Network Scheduler (net/sched), 특히 QFQ (Quick Fair Queueing) qdisc 설정 및 제어 인터페이스(tc command 등).

(4) CVSS 벡터 연결:

• AV (Attack Vector): Local (추정: CAP_NET_ADMIN 권한 필요)
• AC (Attack Complexity): High (특정 레이스 컨디션 및 객체 공유 상태 유도 필요)
• PR (Privileges Required): High (CAP_NET_ADMIN)
• UI (User Interaction): None

악용 가능성: 본 취약점은 Linux 커널의 sch_qfq 모듈 내에서 발생하는 NULL pointer dereference로, 공격 난이도는 Hard입니다. CVSS 벡터상 Network(AV:N) 접근이 가능해 보일 수 있으나, 실제로는 특정 네트워크 트래픽 제어 설정(tc 도구 등)을 조작할 수 있는 권한이나 커널 인터페이스에 직접 접근 가능한 Local/Privileged 상태가 전제되어야 합니다. EPSS 수치가 0.00118로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점임에도 불구하고 실제 야생(In-the-wild)에서 공격자가 이를 정밀하게 트리거하여 이득을 취한 사례가 극히 드물다는 것을 의미합니다. 공격 표면은 net/sched 내의 QFQ qdisc 설정 및 qfq_reset 함수이며, 특히 두 개의 QFQ qdisc 객체가 동일한 leaf_qdisc를 공유하며 하나는 활성 상태, 다른 하나는 파괴 대기 상태인 매우 특수한 Race Condition 상황을 유도해야 합니다. 결과적으로 공격자는 특정 엔드포인트의 큐 길이(qlen)를 조작함과 동시에 qdisc_put을 통한 객체 해제를 정밀하게 타이밍 맞춰 실행해야 하므로, 단순한 Crash 유발 외에 권한 상승으로 연결하기 위한 악용 가능성은 매우 제한적입니다.

(1) 기술적 위험: 시스템 가용성 완전 상실. 커널 모드에서의 NULL pointer dereference는 Oops를 발생시키며, 대부분의 경우 시스템 전체가 정지되는 Denial of Service (DoS)로 이어짐.
(2) 비즈니스 영향: 네트워크 트래픽 제어(QoS)를 사용하는 서버의 갑작스러운 다운타임 발생. 서비스 가용성 저하 및 인프라 신뢰도 하락.

• 체이닝 경로: (추정) 단독으로는 DoS에 그치지만, 다른 커널 메모리 오염 취약점과 결합될 경우, 특정 시점에 커널 패닉을 유도하여 시스템 상태를 조작하거나 보안 모듈의 동작을 일시적으로 방해하는 용도로 활용 가능.
• 유형 수준: CWE-476 (NULL Pointer Dereference) $\rightarrow$ System Crash.

(1) 로그 지표: 커널 링 버퍼(dmesg) 또는 /var/log/syslog에서 BUG: kernel NULL pointer dereference, qfq_deactivate_agg, #PF: supervisor write access in kernel mode 문자열 확인.

(2) 탐지 규칙 예시:

• Logic: dmesg | grep -E "NULL pointer dereference.*qfq_deactivate_agg"
• SIEM Query (Pseudo): index=kernel_logs message="*NULL pointer dereference*" AND message="*qfq_reset*" OR message="*qfq_deactivate_agg*"

(3) 오탐 시나리오 및 튜닝: 일반적인 커널 버그로 인한 패닉과 구분하기 위해, 스택 트레이스 내에 sch_qfq 관련 함수 호출 경로가 포함되어 있는지 확인하여 정밀도를 높임.

• 즉시(긴급 차단): QFQ qdisc 사용 중단 및 기본 pfifo_fast 또는 다른 스케줄러로 변경. (난이도: 낮음 / 영향: 네트워크 트래픽 제어 정책 상실)
• 단기(완화): CAP_NET_ADMIN 권한을 가진 계정/프로세스를 최소화하여 공격 표면 제한. (난이도: 중간 / 영향: 관리 운영 불편함 증가)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업데이트. (0545a30... $\le$ x $<$ 6116a83... 범위 외 버전 적용). (난이도: 중간 / 영향: 재부팅 필요, 가용성 일시 중단)

[파이프라인 근거] 본 분석은 다중 소스에서 일관된 결함 원리(NULL deref in qfq_reset)가 확인되었으며, 실측 EPSS 0.00118(백분위 0.02047)을 통해 실제 악용 가능성이 매우 낮음(Hard)을 확인하였습니다. 이에 따라 KEV 미등재 및 낮은 EPSS 수치를 근거로 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00118 · exploit=hard · in_scope=None