[공격] 분석 — CVE-2025-71266

• 심각도 medium · CVSS 5.5 · EPSS 0.00121 · 악용난이도 hard

본 취약점은 ntfs3 파일 시스템 드라이버의 디렉토리 인덱스 탐색 로직 결함을 이용한 커널 패닉 유도 공격이다. CVSS 벡터 AV:L/AC:L/PR:L/UI:N에서 알 수 있듯, 공격자는 이미 시스템에 접근 권한을 가진 상태(Local)여야 하며, 조작된 파일 시스템 이미지를 마운트할 수 있는 환경이 전제된다.

• 공격 표면 및 트리거: ntfs3 드라이버의 indx_find() 함수가 공격 표면이다. 공격자는 NTFS 볼륨 내 INDEX_ALLOCATION 블록의 INDEX_ENTRY를 조작하여 HAS_SUB_NODE 플래그를 설정하고, VCN(Virtual Cluster Number) 포인터를 의도적으로 루프 구조로 생성한다.
• 공격 체인:
  1. 정찰 및 준비: 대상 시스템이 ntfs3 드라이버를 사용하며, 외부 저장 장치(USB, 외장 HDD)나 가상 디스크 이미지(.img) 마운트가 가능한지 확인한다.
  2. 초기 접근 (Malformed Image): 조작된 NTFS 구조를 가진 이미지를 시스템에 연결하거나, 권한이 있는 사용자가 이를 마운트하도록 유도한다.
  3. 실행 (Triggering Loop): 커널이 해당 디렉토리의 lookup 작업을 수행할 때 indx_find()가 호출된다. 루프 구조로 조작된 VCN으로 인해 동일 블록을 반복해서 읽는 무한 루프에 진입한다.
  4. 자원 고갈 (Memory Exhaustion): 루프 매 회차마다 fnd_push()를 통해 4 KB의 메모리가 계속 할당된다. 커널 내 VCN 루프 탐지 기작이나 깊이 제한(Depth Limit)이 없으므로, 메모리가 급격히 소모된다.
  5. 영향 (DoS): 시스템 메모리가 고갈되어 OOM(Out Of Memory) Killer가 작동하거나 커널 패닉이 발생하며 전체 시스템이 중단된다.

악용 가능성: 본 취약점은 공격 난이도가 매우 높은 hard 등급으로, 로컬 권한을 가진 사용자가 조작된 NTFS 파일 시스템 이미지에 접근할 수 있는 환경이 전제되어야 합니다(AV:L/PR:L). 공격 표면은 Linux 커널의 ntfs3 드라이버 내 indx_find() 함수이며, 구체적으로는 디렉토리의 INDEX_ALLOCATION 블록 내 INDEX_ENTRY에서 HAS_SUB_NODE 플래그와 VCN 포인터를 정교하게 조작한 Malformed dentry가 트리거 조건이 됩니다. 공격자는 특수하게 제작된 NTFS 파티션을 마운트함으로써 커널이 동일 블록을 무한히 읽게 만들어 4KB 단위의 메모리를 지속적으로 할당시키는 Memory Exhaustion 상태를 유도할 수 있습니다. EPSS 점수가 0.00121로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(Wild)에서 자동화된 공격 도구로 활용될 가능성이 희박함을 시사합니다. 그러나 이론적 심각도와 별개로, 외장 저장장치나 가상 디스크 이미지를 통해 악성 파일 시스템을 주입할 수 있는 환경이라면 커널 패닉 및 OOM(Out-of-Memory) Crash를 통한 서비스 거부(DoS)가 실전에서 충분히 가능합니다. 결과적으로 본 취약점은 원격 공격은 불가능하며, 로컬 권한 획득 후 시스템 가용성을 파괴하려는 특정 목적의 정밀 타격 시나리오에서만 악용 가능성이 존재합니다.

• 가용성 완전 상실: 커널 레벨의 무한 루프와 메모리 고갈로 인해 시스템이 즉시 응답 불능 상태에 빠지며, 재부팅 전까지 서비스 복구가 불가능하다.

본 취약점은 단독으로 RCE나 권한 상승을 일으키지는 않으나, 다음과 같은 체이닝 가능성이 존재한다.

• DoS $\rightarrow$ 보안 제어 무력화 (추정): 고가용성(HA) 클러스터 환경에서 특정 노드를 의도적으로 다운시켜 트래픽을 다른 취약한 노드로 유도하거나, 모니터링 시스템의 부하를 일으켜 다른 공격 행위를 은닉하는 용도로 활용될 수 있다.
• Privilege Escalation (추정): OOM 상황에서 커널의 메모리 관리 로직이 오작동하여 발생하는 레이스 컨디션(Race Condition)이나 Use-After-Free 등의 2차 결함과 체이닝될 가능성이 있으나, 이는 매우 희박한 시나리오이다.
• 패턴 분석: 전형적인 '입력 값 검증 미흡 $\rightarrow$ 무한 루프 $\rightarrow$ 자원 고갈' 패턴의 CWE-400(Uncontrolled Resource Consumption) 유형이다.

• 커널 로그: OOM killer 관련 메시지나 ntfs3 관련 커널 덤프 확인.
• 메모리 지표: 특정 프로세스나 커널 영역에서 비정상적으로 급격하게 메모리 사용량이 증가하는 패턴 감시.
• 시스템 호출: mount 명령어를 통해 신뢰할 수 없는 NTFS 이미지/장치가 마운트되는 행위 추적.

• 근본 해결: 영향받는 Linux 커널 버전(5.15.1~6.19.6 등 광범위한 범위)을 최신 보안 패치 버전으로 업데이트하여 fnd_push()의 반환 값 체크 로직을 적용한다.
• 즉시 조치: 신뢰할 수 없는 외부 NTFS 저장 매체의 마운트를 금지하거나, 필요 시 읽기 전용(ro) 옵션을 검토하되 근본적으로는 패치가 필수적이다.

분석 근거 및 우선순위 결정 논리:

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석함.
• 실측 악용예측: EPSS 수치가 $0.00121$로 매우 낮고, PoC가 미상이며 exploit 등급이 hard인 점을 근거로 실제 야생에서의 즉각적인 악용 가능성은 낮다고 판단함.
• 우선순위 결정: CVSS 5.5(Medium) 및 non-KEV, 낮은 EPSS 수치를 반영하여 'monitor' 단계로 설정함. 다만, 영향받는 커널 버전 범위가 매우 넓어 잠재적 공급망 위험이 크므로 패치 권고를 포함함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00121 · exploit=hard · in_scope=None