[공격] 분석 — CVE-2024-58061

• 심각도 medium · CVSS 5.5 · EPSS 0.0017 · 악용난이도 hard

(1) 트리거 조건: debugfs 인터페이스를 통해 mac80211 서브시스템의 링크 비활성화 기능을 호출할 때, 모든 링크가 비활성화되는 상태를 허용하는 결함을 이용함. 내부 API에서는 WARN_ON으로 처리되나, debugfs 쓰기 작업 시 이를 직접적으로 차단하지 않아 커널 패닉(Kernel Panic) 또는 시스템 중단이 발생함.

(2) 공격 단계:

• 정찰: 대상 시스템의 Linux 커널 버전 확인 및 debugfs 마운트 여부 점검.
• 초기 접근: 로컬 쉘 권한 확보 (AV:L).
• 실행/권한 획득: debugfs에 접근 가능한 권한(PR:L, 추정: root 또는 특정 그룹)을 가진 계정으로 로그인.
• 영향: mac80211 관련 debugfs 엔드포인트에 특정 값을 write하여 모든 링크를 비활성화 → 커널 크래시 유도.

(3) 공격 표면:

• 노출 엔드포인트: /sys/kernel/debug/ 하위의 mac80211 관련 제어 파일.
• 파라미터: 링크 상태를 변경하는 write 요청 값.

(4) CVSS 벡터 분석:

• AV:L (Local): 네트워크를 통한 원격 공격은 불가능하며, 로컬 접근이 필수적임.
• AC:L (Low): 트리거 조건이 단순하여 복잡한 우회 기법이 필요 없음.
• PR:L (Low/Privileged): debugfs는 기본적으로 권한이 제한적이므로 최소한의 특권 권한이 전제됨.
• UI:N (None): 사용자 상호작용 없이 실행 가능.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터가 시사하듯, 공격자가 이미 시스템에 낮은 권한의 계정으로 접근하여 로컬 셸을 확보한 상태여야 하므로 초기 진입 장벽이 매우 높습니다. 특히 debugfs 내 특정 엔드포인트에 직접 쓰기 작업을 수행해야 하는 트리거 조건은 일반적인 사용자 권한으로는 접근이 제한되어 있어, 실제 공격 난이도는 'Hard' 등급으로 판정됩니다. EPSS 수치가 0.0017로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 결함만을 단독으로 이용한 공격 사례가 거의 없음을 의미합니다. 하지만 mac80211 스택의 링크 비활성화 로직 결함은 커널 패닉이나 DoS를 유발할 수 있으며, 이는 특정 조건에서 권한 상승(LPE)을 위한 메모리 오염 상태를 만드는 체이닝 경로로 악용될 가능성이 있습니다. 공격 표면은 debugfs를 통해 노출되는 무선 네트워크 인터페이스 제어 파라미터이며, 이를 조작하여 커널 내부의 WARN_ON 상태나 예외 상황을 강제로 유도하는 것이 핵심입니다. 결과적으로 단독 악용 가능성은 낮으나, 로컬 권한을 가진 공격자가 시스템 가용성을 파괴하거나 더 높은 권한을 획득하기 위한 전단계로 활용할 수 있는 잠재적 위험이 존재합니다.

(1) 기술적 위험: 시스템 가용성 파괴 (Denial of Service). 커널 레벨에서 WARN_ON 또는 패닉이 발생하여 전체 시스템이 즉시 중단됨. 데이터 유출이나 권한 상승으로 이어지는 직접적인 경로는 없음.

(2) 비즈니스 영향:

• 서비스 가용성: 해당 커널을 사용하는 무선 네트워크 장비나 서버의 갑작스러운 다운타임 발생.
• 신뢰도: 시스템 안정성 저하로 인한 운영 신뢰도 하락.
• 규모: 영향을 받는 커널 버전 범위가 매우 넓어(6.1 ~ 6.13 일부) 잠재적 노출 대상이 많음.

• 체이닝 경로: 추정: [Local Privilege Escalation] $\rightarrow$ [CVE-2024-58061].
• 분석: 본 취약점은 debugfs 접근 권한(PR:L)을 전제로 함. 따라서 일반 사용자가 시스템을 다운시키려면 먼저 다른 로컬 권한 상승(LPE) 취약점을 통해 root 또는 debugfs 접근 권한을 획득하는 체이닝이 필요함.
• 유형 수준: '권한 상승' $\rightarrow$ '커널 리소스 오용' $\rightarrow$ '서비스 거부(DoS)' 패턴으로 이어짐.

(1) 로그 지표: dmesg 또는 /var/log/kern.log 내에 mac80211 관련 WARN_ON 메시지나 커널 스택 트레이스(Kernel Stack Trace) 기록.

(2) 탐지 규칙 예시:

• 로직: debugfs 경로 내 mac80211 관련 파일에 대한 비정상적인 Write 작업 감시.
• SIEM 쿼리(의사코드): SELECT * FROM audit_logs WHERE event_id = 'sys_write' AND target_path LIKE '/sys/kernel/debug/mac80211%' AND user_id != 'expected_admin'

(3) 오탐 시나리오: 커널 디버깅을 수행하는 정당한 관리자의 작업.

• 튜닝: 신뢰할 수 있는 관리자 IP/계정 화이트리스트 적용 및 debugfs 마운트 시간대 제한.

즉시(긴급 차단):

• debugfs 마운트 해제 (umount /sys/kernel/debug).
• 난이도: 매우 낮음 / 영향: 커널 디버깅 불가 / 검증: mount 명령어로 확인.

단기(완화):

• /sys/kernel/debug 경로에 대한 파일 시스템 권한을 엄격히 제한하여 일반 사용자 및 불필요한 서비스 계정의 접근 차단.
• 난이도: 낮음 / 영향: 운영 영향 거의 없음 / 검증: ls -l로 권한 확인.

근본(해결):

• 영향 받는 버전별 최신 패치 적용 (6.1.130+, 6.26.6.77+, 6.76.12.14+, 6.13.3+).
• 난이도: 보통 / 영향: 커널 업데이트 후 리부팅 필요(가용성 일시 중단) / 검증: uname -r로 버전 확인.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 사실을 기반으로 하며, EPSS 0.0017(실측치) 및 CVSS 5.5를 근거로 실제 악용 가능성이 낮고(hard) 로컬 권한이 필요함을 반영하여 'monitor' 우선순위로 결정되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0017 · exploit=hard · in_scope=None