[방어] 분석 — CVE-2025-68363

• 심각도 미상 · CVSS 미상 · EPSS 0.0018 · 악용난이도 hard

• 원리: Linux 커널의 bpf_skb_check_mtu 헬퍼 함수가 BPF_MTU_CHK_SEGS 플래그 사용 시, skb->transport_header 값이 설정되었는지 확인하지 않고 참조함.
• 경로: CONFIG_DEBUG_NET이 활성화된 환경에서 skb->gso_size가 설정된 패킷을 처리하는 BPF 프로그램(예: TC filter)이 실행될 때 발생.
• 단계:
  1. 공격자가 특정 조건(BPF_MTU_CHK_SEGS 플래그 사용)의 BPF 프로그램을 로드함.
  2. transport_header가 설정되지 않은 특수하게 조작된 패킷(또는 test_run 환경의 패킷)이 유입됨.
  3. 커널이 유효하지 않은 메모리 주소를 참조하여 WARN_ON_ONCE 또는 시스템 불안정성 초래.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 권한 수준과 트리거 조건의 제약 때문입니다. CVSS 벡터상 PR: High 및 AV: Local 조건이 전제되어야 하므로, 공격자는 이미 시스템에 진입하여 BPF(Berkeley Packet Filter) 프로그램을 로드할 수 있는 높은 권한을 보유해야 합니다. 공격 표면은 Linux 커널의 bpf_skb_check_mtu 헬퍼 함수와 BPF_MTU_CHK_SEGS 플래그를 사용하는 eBPF 엔드포인트로 국한됩니다. 특히 skb->transport_header가 설정되지 않은 특수한 패킷 상태(예: GSO 설정 및 특정 네트워크 경로)를 정교하게 유도해야 하므로 트리거 조건이 매우 까다롭습니다. EPSS 수치가 0.0018로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 패닉이나 메모리 오염 가능성과 별개로 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 따라서 외부망을 통한 즉각적인 침투 경로보다는 내부 권한 상승이나 서비스 거부(DoS)를 목적으로 한 정밀하게 설계된 공격 시나리오에서만 제한적으로 악용 가능할 것으로 분석됩니다.

• 가용성 저하: 잘못된 포인터 참조로 인한 Kernel Warning 발생 및 추정: 특정 조건 하에서의 커널 패닉(Kernel Panic)으로 인한 시스템 다운타임 가능성.
• 신뢰성: 네트워크 스택의 무결성 훼손 및 BPF 프로그램의 비정상 동작.

• 유형: Null Pointer Dereference 또는 Uninitialized Variable 사용 패턴.
• 체이닝: 추정: 권한 상승(LPE) 취약점과 결합하여 커널 메모리 누수나 제어 흐름 조작을 시도할 수 있으나, 본 건은 단순 경고 수준의 보고가 많아 가능성은 낮음.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 0.0018(백분위 0.07814)로 실제 악용 가능성이 매우 낮은 hard 등급으로 분류되었습니다. 이에 따라 즉각적인 침해 사고 대응보다는 모니터링 중심의 접근을 권고합니다.

• 로그 지표: 커널 로그(dmesg, /var/log/syslog, /var/log/kern.log) 내 특정 함수 호출 스택 확인.
• 탐지 패턴 (SIEM/Log 분석):
  • 패턴 1 (Kernel Warning): skb_gso_validate_network_len $\rightarrow$ bpf_skb_check_mtu 순으로 이어지는 Call Stack이 포함된 WARNING 로그 탐지.
  • 정규식 예시: /WARNING: CPU: \d+ PID: \d+ at .*skb_gso_validate_network_len.*bpf_skb_check_mtu/
  • 의사코드 (SIEM):
    SELECT timestamp, hostname, message FROM kernel_logs WHERE message LIKE '%bpf_skb_check_mtu%' AND message LIKE '%WARNING%'
• 오탐 튜닝:
  • bpf_prog_test_run을 이용한 합법적인 커널 테스트/디버깅 환경에서 발생하는 로그는 정상 동작으로 간주하여 제외 처리.

우선순위 결정 논리에 따라, CVSS 미상 및 non-KEV, 낮은 EPSS 수치를 근거로 'monitor' 단계의 대응을 수행합니다.

• 즉시 (긴급 차단):
  • 조치: unprivileged_bpf_disabled 설정 활성화.
  • 명령어: sysctl -w kernel.unprivileged_bpf_disabled=1
  • 난이도/영향/검증: 낮음 / 일반 사용자 BPF 로드 불가(운영 영향 적음) / sysctl kernel.unprivileged_bpf_disabled 값 확인.
• 단기 (완화):
  • 조치: 네트워크 인터페이스에 적용된 커스텀 BPF/TC 필터 프로그램 중 BPF_MTU_CHK_SEGS 플래그를 사용하는 로직이 있는지 전수 조사 및 일시 제거.
  • 난이도/영향/검증: 중간 / 특정 네트워크 필터링 기능 중단 가능성 / tc filter show dev <iface> 명령어로 확인.
• 근본 (해결):
  • 조치: skb_transport_header_was_set() 체크 로직이 포함된 최신 커널 패치 적용 및 업데이트.
  • 난이도/영향/검증: 높음 / 시스템 재부팅 필요(가용성 일시 중단) / uname -a로 커널 버전 확인 및 패치 내역 검증.

잔여 리스크: 패치 이후에도 BPF 헬퍼 함수들의 유사한 유효성 검사 누락 가능성이 존재하므로, 지속적인 커널 로그 모니터링이 필요함.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.0018 · exploit=hard · in_scope=None