[공격] 분석 — CVE-2026-64600

• 심각도 미상 · CVSS 미상 · EPSS 0.00724 · 악용난이도 hard

(1) 트리거 조건: XFS 파일시스템에서 xfs_reflink_fill_cow_hole 또는 xfs_reflink_fill_delalloc 함수가 호출될 때, ILOCK을 해제하고 트랜잭션을 획득한 뒤 다시 ILOCK을 잡는 과정(cycle)이 발생함. 이때 데이터 포크 매핑(data fork mapping)을 갱신하지 않고 그대로 사용하면 stale 상태의 매핑으로 인해 잘못된 물리 블록에 접근하게 됨.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 XFS 파일시스템 사용 여부 확인.
• 초기접근: 로컬 사용자 권한 획득 또는 파일을 생성/수정할 수 있는 권한을 가진 애플리케이션 제어.
• 실행·권한 획득: reflink 기능과 directio write를 정교하게 타이밍 공격(Race Condition)하여, stale 매핑 상태에서 쓰기 작업을 수행. 추정: 이를 통해 다른 프로세스의 데이터 영역이나 커널 메모리 영역을 오염시켜 권한 상승 시도.
• 지속/영향: 파일시스템 메타데이터 파괴 또는 임의 메모리 쓰기를 통한 커널 제어권 획득.

(3) 공격 표면: Linux Kernel XFS Filesystem 모듈 내부 함수 (xfs_bmap_trim_cow, xfs_reflink_fill_*). 사용자 공간에서는 파일 복제(reflink), Direct I/O 쓰기 작업이 진입점이 됨.

(4) CVSS 벡터 연결:

• AV (Attack Vector): Local (로컬 파일시스템 접근 필요).
• AC (Attack Complexity): High (정교한 타이밍 제어가 필요한 Race Condition).
• PR (Privileges Required): Low/Medium (파일 쓰기 권한 필요).
• UI (User Interaction): None.

악용 가능성: 본 취약점은 Linux 커널 XFS 파일 시스템의 ILOCK 획득 과정에서 발생하는 Race Condition으로, 공격 난이도는 Hard로 판정됩니다. CVSS 관점에서 Local Access(AV:L)가 필수적이며, 특정 시점에 정확히 메모리 매핑 상태를 조작해야 하는 복잡한 실행 조건(AC:H)을 가집니다. EPSS 수치가 0.00724로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 메모리 오염 가능성에도 불구하고 실제 야생(In-the-wild)에서 무기화된 사례가 드문 실전적 한계를 보여줍니다. 공격 표면은 XFS 마운트 지점의 파일 시스템 엔드포인트이며, 특히 xfs_reflink_fill 함수군이 처리하는 Reflink 및 CoW(Copy-on-Write) 관련 시스템 콜 파라미터가 주요 트리거 포인트입니다. 공격자는 로컬 권한을 가진 상태에서 Direct IO 쓰기 작업과 ILOCK 사이클링 사이의 타이밍 윈도우를 정밀하게 타격하여, stale된 data fork mapping을 유도함으로써 잘못된 물리 블록에 접근해야 합니다. 결과적으로 이 취약점은 단순 실행보다는 커널 권한 상승(LPE)을 위해 다른 메모리 손상 취약점과 체이닝될 때 그 위험성이 증폭되는 구조입니다.

(1) 기술적 위험:

• 데이터 무결성 파괴: 잘못된 물리 블록에 데이터를 기록하여 파일 시스템 손상 및 데이터 오염 발생.
• 추정: 커널 메모리 내의 엉뚱한 위치에 쓰기가 수행될 경우, 커널 패닉(DoS) 또는 권한 상승(LPE) 가능성 존재.

(2) 비즈니스 영향:

• 서비스 가용성: 파일시스템 손상으로 인한 서버 다운타임 및 데이터 복구 비용 발생.
• 신뢰성: 저장된 데이터의 무결성이 보장되지 않음으로써 시스템 신뢰도 하락.

(1) 체이닝 경로: 추정: [로컬 파일 생성/수정 권한] $\rightarrow$ [Race Condition을 이용한 stale 매핑 유도] $\rightarrow$ [임의 물리 블록 쓰기] $\rightarrow$ [커널 오브젝트 덮어쓰기] $\rightarrow$ [권한 상승(LPE)].
(2) 유형 수준: CWE-362 (Concurrent Execution using Shared Resource with Improper Synchronization, Race Condition) 및 CWE-648 (Incorrect Calculation of Buffer Size/Offset - 추정: 매핑 오류로 인한 잘못된 오프셋 접근).

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 XFS 관련 Corruption detected 또는 Internal error 메시지, 갑작스러운 Kernel Panic 발생 패턴.

(2) 탐지 규칙 예시:

• 로직: 단시간 내에 동일 파일에 대해 비정상적으로 많은 수의 reflink 및 Direct I/O 쓰기 요청이 반복되는 패턴 감시.
• 의사코드: IF (event == XFS_REFLINK && event == DIRECT_IO_WRITE) AND (frequency > threshold) WITHIN (1s) THEN alert("Potential XFS Race Condition Attempt")

(3) 오탐 시나리오 및 튜닝: 대규모 데이터베이스나 백업 솔루션이 XFS reflink를 빈번하게 사용할 경우 오탐 가능성 높음. 특정 프로세스(예: rsync, cp --reflink) 화이트리스트 처리 필요.

• 즉시(긴급 차단): 추정: 취약한 기능을 사용하는 애플리케이션의 Direct I/O 옵션 제한 또는 XFS reflink 기능 사용 자제. (난이도: 하 / 영향: 높음 - 앱 동작 변경 필요)
• 단기(완화): 커널 파라미터 튜닝을 통해 파일시스템 동시성 제어 검토. (난이도: 중 / 영향: 중간 - 성능 저하 가능성)
• 근본(해결): 해당 수정 사항이 반영된 최신 Linux Kernel 버전으로 업데이트 및 리부팅. (난이도: 중 / 영향: 낮음 - 재부팅 필요)

[파이프라인 근거] 본 분석은 다중 소스에서 일관되게 확인된 커널 패치 내역을 바탕으로 작성되었습니다. 실측 EPSS 값 0.00724(백분위 0.50247)는 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 현재 매우 낮음을 의미하며, exploit 등급이 'hard'이고 KEV에 등재되지 않은 점을 근거로 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00724 · exploit=hard · in_scope=None