[방어] 분석 — CVE-2025-38727

• 심각도 medium · CVSS 5.5 · EPSS 0.00154 · 악용난이도 hard

(1) 트리거 조건: netlink_attachskb() 함수 내에서 소켓 수신 버퍼(sk_rcvbuf)와 현재 할당된 메모리(sk_rmem_alloc), 그리고 전송하려는 패킷 크기(skb->truesize)의 합이 정확히 일치하는 경계 조건(Edge Case)이 발생할 때 트리거됩니다.
(2) 공격 단계:

• 정찰/초기접근: 로컬 시스템에 대한 일반 사용자 권한 확보 (AV:L, PR:L).
• 실행: 특정 크기의 Netlink 메시지를 반복적으로 생성하여 수신 버퍼의 메모리 제약 조건을 정밀하게 조작.
• 영향: 커널이 netlink_unicast() 내에서 무한 재시도 루프(Infinite Retry Loop)에 빠지며 CPU 자원을 점유.
  (3) 공격 표면: Linux Kernel Netlink 인터페이스 (로컬 소켓 통신).
  (4) CVSS 벡터 연결:
• AV:L / PR:L: 로컬 계정 권한이 있어야 하며, 네트워크 외부에서 직접 트리거는 불가능함.
• AC:L: 조건이 충족되면 복잡한 조작 없이 루프가 발생함.
• UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인하여 로컬 권한을 획득한 상태에서 커널 인터페이스에 접근할 수 있어야 합니다. 공격 표면은 Linux 커널의 netlink_unicast() 함수이며, 구체적으로는 Netlink 소켓 통신 과정에서 특정 메모리 할당 조건(skb->truesize + sk->sk_rmem_alloc == sk->sk_rcvbuf)을 정밀하게 트리거해야 하는 복잡한 제약이 존재합니다. 이 조건 충족 시 netlink_attachskb() 내의 무한 루프가 발생하여 CPU 스톨(RCU stall) 및 시스템 가용성 저하(DoS)로 이어지게 됩니다. EPSS 수치가 0.00154로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 심각도와 달리 실제 야생에서 이 정밀한 조건을 맞춰 악용한 사례가 극히 드물다는 것을 시사합니다. 결과적으로 로컬 권한을 가진 내부 공격자가 시스템 전체를 마비시키려는 특수한 목적이 있을 때만 제한적으로 악용 가능성이 존재합니다.

(1) 기술적 위험: 서비스 거부(DoS). 특정 CPU 코어가 무한 루프에 빠져 응답하지 않는 rcu_sched self-detected stall 상태가 되며, 시스템 전체의 성능 저하 또는 커널 패닉으로 인한 시스템 중단이 발생합니다.
(2) 비즈니스 영향: 서버 가용성 상실. 특히 Netlink를 통해 커널과 통신하는 핵심 서비스(네트워킹 설정, 모니터링 도구 등)가 마비되어 인프라 관리 불능 상태에 빠질 수 있습니다.

• 추정: 본 취약점은 단독으로 권한 상승을 일으키지는 않으나, DoS를 통해 특정 보안 모니터링 프로세스나 커널 감시 도구를 무력화시킨 후 다른 로컬 권한 상승(LPE) 취약점을 실행하는 체이닝 패턴으로 이용될 수 있습니다. (CWE-835: Infinite Loop 유형)

(1) 로그 지표: 커널 링 버퍼(dmesg) 및 시스템 로그(/var/log/syslog, /var/log/messages). 특히 rcu_sched self-detected stall 문구와 함께 netlink_unicast 또는 관련 함수가 포함된 NMI backtrace 확인이 핵심입니다.
(2) 탐지 규칙:

• 로직 1 (Log-based): dmesg 내에서 "rcu_sched self-detected stall" AND "netlink" 키워드가 동시에 출현하는지 감시.
• 로직 2 (SIEM Query 예시):
  SELECT host, message FROM kernel_logs WHERE message LIKE '%rcu_sched self-detected stall%' AND message LIKE '%netlink_unicast%'
• 로직 3 (Performance-based): 특정 CPU 코어의 사용률이 100%로 고정되면서 ksoftirqd 또는 커널 스레드의 점유율이 비정상적으로 높은 상태가 지속되는지 확인.
  (3) 오탐 튜닝: 일반적인 시스템 부하로 인한 RCU stall은 발생할 수 있으나, Call Trace에 netlink_unicast 루프 경로가 명확히 찍히는 경우만 본 취약점으로 식별하여 오탐을 줄입니다.

• 즉시(긴급 차단): 일반 사용자의 Netlink 소켓 생성 및 통신 권한을 제한하는 seccomp 프로필 적용 또는 불필요한 로컬 사용자 계정의 셸 접근 차단. (난이도: 중 / 영향: 일부 관리 도구 작동 불가 가능성 / 검증: 비특권 계정에서 Netlink 통신 테스트)
• 단기(완화): 시스템 모니터링 도구를 통해 CPU Stall 발생 시 즉각적인 알림 설정 및 영향을 받는 프로세스 강제 종료/재시작 절차 마련. (난이도: 하 / 영향: 없음 / 검증: Alert 트리거 테스트)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업데이트.
  • 대상 버전: 6.1.149+, 6.6.103+, 6.12.43+, 6.15.11+, 6.16.2+ 등 각 브랜치별 수정 버전 적용. (난이도: 중 / 영향: 재부팅 필요로 인한 서비스 일시 중단 / 검증: uname -r로 버전 확인)

[분석 근거] 본 리포트는 다중 소스에서 데이터 일관성이 확인되었으며, EPSS 0.00154(백분위 0.0507) 수치를 통해 실제 악용 가능성이 매우 낮음을 확인했습니다. 이에 따라 CVSS 5.5의 Medium 심각도와 'Hard' 수준의 공격 난이도를 반영하여 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00154 · exploit=hard · in_scope=None