[방어] 분석 — CVE-2025-71123

• 심각도 high · CVSS 7.8 · EPSS 0.00143 · 악용난이도 hard

• 취약점 원인: ext4 파일시스템의 parse_apply_sb_mount_options() 함수 내에서 strscpy_pad()를 잘못 사용하여 NUL 종료 문자가 없는 문자열을 더 큰 크기의 버퍼로 복사하려 할 때 발생합니다.
• 작동 경로: 로컬 사용자가 특수하게 조작된 마운트 옵션을 포함하여 파일시스템을 마운트하려고 시도할 때, 커널의 __fortify_report가 동작하며 Buffer Overflow(65 byte read of buffer size 64)가 촉발됩니다.
• 단계: [특수 마운트 옵션 구성] $\rightarrow$ [마운트 요청] $\rightarrow$ [커널 내 문자열 복사 오류 발생] $\rightarrow$ [메모리 오염/패닉].

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판단됩니다. CVSS 벡터 AV:L/PR:L에서 알 수 있듯, 공격자는 이미 대상 시스템에 일반 사용자 권한으로 접근하여 로컬 쉘을 확보한 상태여야만 트리거가 가능합니다. 공격 표면은 Linux 커널의 ext4 파일 시스템 마운트 옵션을 처리하는 parse_apply_sb_mount_options() 함수이며, 조작된 마운트 옵션 문자열을 통해 버퍼 오버플로우를 유도하는 구조입니다. 다만, EPSS 수치가 0.00143으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생(In-the-wild)에서 실질적인 익스플로잇이 활발히 유통되고 있지 않음을 시사합니다. 결론적으로 이론적인 심각도와 별개로, 로컬 권한 획득이라는 전제 조건과 커널 메모리 구조의 복잡성으로 인해 실제 악용 가능성은 낮으나, 내부 침투 후 권한 상승(Privilege Escalation) 단계에서 이용될 잠재적 위험이 존재합니다.

• 권한 상승: CVSS 벡터(AV:L/PR:L) 및 CVSS 7.8 점수가 가리키듯, 낮은 권한의 로컬 사용자가 커널 메모리를 오염시켜 root 권한을 획득할 가능성이 있습니다.
• 가용성 저하: 취약점 트리거 시 __fortify_panic으로 인해 시스템이 즉시 중단(Kernel Panic)되어 서비스 거부 상태가 됩니다.

• 유형: Memory Corruption (Buffer Overflow).
• 체이닝: 로컬 파일시스템 마운트 권한을 획득하기 위한 다른 권한 상승 취약점이나, 컨테이너 환경에서 커널 네임스페이스를 탈출하여 호스트의 ext4 장치에 접근하는 경로와 연계될 수 있습니다.

• 로그 지표: 커널 로그(dmesg, /var/log/syslog, journalctl -k) 내에서 __fortify_report 및 ext4_fill_super 호출 스택이 포함된 Warning/Panic 메시지를 확인합니다.
• 탐지 규칙 (SIEM 의사코드):
  sql복사

   1SELECT timestamp, hostname, message 
   2FROM kernel_logs 
   3WHERE (message LIKE '%strnlen: detected buffer overflow%' 
   4       AND message LIKE '%parse_apply_sb_mount_options%') 
   5   OR (message LIKE '%__fortify_report%' 
   6       AND message LIKE '%fs/ext4/super.c%')

• 정규식 패턴: strnlen: detected buffer overflow: \d+ byte read of buffer size \d+
• 오탐 튜닝: 정상적인 커널 업데이트나 디버그 빌드에서의 테스트 로그인지 확인하십시오. 일반적인 운영 환경에서 ext4 마운트 옵션 처리 중 Buffer Overflow 경고가 발생하는 것은 매우 비정상적인 상황입니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00143(백분위 0.04006)의 낮은 실측 악용률과 exploit=hard 등급을 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다.

• 즉시 (긴급 차단): 비특권 사용자의 마운트 권한 제한.
  • 조치: /etc/fstab 설정을 점검하고, 일반 사용자가 임의의 옵션으로 마운트할 수 없도록 user 또는 users 옵션을 제거합니다.
  • 난이도: 낮음 / 운영 영향: 낮음 (관리자 외 마운트 불가) / 검증: 비특권 계정에서 mount 명령 실행 시 권한 거부 확인.
• 단기 (완화): 불필요한 ext4 모듈 로드 제한 및 컨테이너 런타임 보안 프로파일 적용.
  • 조치: Seccomp 또는 AppArmor/SELinux를 통해 mount() 시스템 콜을 차단하거나 엄격히 제한합니다.
  • 난이도: 중간 / 운영 영향: 중간 (특정 애플리케이션의 마운트 기능 제약 가능) / 검증: strace를 통한 시스템 콜 차단 여부 확인.
• 근본 (해결): Linux 커널 업데이트.
  • 조치: 영향받는 버전(5.4, 5.10, 6.1, 6.6, 6.12, 6.17, 6.18 등)에서 memtostr() 및 memtostr_pad()가 적용된 최신 패치 버전으로 업그레이드합니다.
  • 난이도: 중간 / 운영 영향: 높음 (리부팅 필요) / 검증: uname -r을 통해 업데이트된 커널 버전 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00143 · exploit=hard · in_scope=None