[방어] 분석 — CVE-2025-21795

• 심각도 medium · CVSS 5.5 · EPSS 0.0023 · 악용난이도 hard

(1) 트리거 조건: NFSv4 클라이언트가 'courtesy state'(서버와의 연결이 끊겼으나 클라이언트가 이를 인지하고 정리하는 상태)에 있을 때, 서버의 nfsd4_shutdown_callback 함수가 호출되면 발생합니다. 이때 cl_cb_inflight 값이 0이 되지 않아 프로세스가 대기(hang) 상태에 빠집니다.
(2) 공격 단계:

• 정찰 및 초기 접근: NFSv4 서비스가 활성화된 Linux 서버 식별 및 네트워크 접근 권한 확보 (AV:L, PR:L 조건).
• 실행: 특정 네트워크 상태나 비정상적인 종료 시퀀스를 유도하여 클라이언트를 courtesy state로 진입시킴.
• 영향: nfsd4_run_cb_work가 RPC 호출을 시도하지만 응답을 받지 못해 약 15분간 NFSD 프로세스가 hang 상태가 됨 (TCP 타임아웃 발생 전까지).
  (3) 공격 표면: Linux Kernel 내 NFSv4 서버(NFSD)의 콜백 메커니즘 및 RPC 통신 경로.
  (4) CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N에 따라, 로컬 접근 권한이 있거나 낮은 수준의 권한을 가진 사용자가 복잡한 설정 없이 트리거할 수 있는 구조입니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 낮은 권한(Low Privilege)을 가진 계정으로 접근하여 로컬 환경에서 실행 권한을 확보해야 하는 전제조건이 필요합니다. 공격 표면은 Linux 커널의 NFS 서버 모듈(nfsd) 내 nfsd4_shutdown_callback 함수와 관련 RPC 통신 경로이며, 특정 상태인 courtesy state에서 콜백 요청을 트리거하여 시스템 행(Hang)을 유발하는 것이 핵심입니다. 다만 EPSS 수치가 0.0023으로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 실제 야생(In-the-wild)에서의 악용 사례가 드물며, 이론적 심각도 대비 실질적인 공격 성공률이 낮음을 시사합니다. 결과적으로 로컬 권한을 가진 내부자가 의도적으로 NFS 연결 상태를 조작해야 하므로 외부로부터의 즉각적인 침투 경로로 활용될 가능성은 낮으나, 가용성 저해(DoS) 관점에서의 잠재적 리스크는 존재합니다.

(1) 기술적 위험: 서비스 거부(DoS). NFSD 프로세스의 hang으로 인해 NFSv4 관련 요청 처리가 중단되며, 시스템 전체의 가용성에 영향을 줍니다.
(2) 비즈니스 영향: 공유 스토리지를 사용하는 인프라 환경에서 파일 시스템 접근 불가로 인한 애플리케이션 장애 및 업무 중단이 발생할 수 있습니다. 다만, CVSS 5.5 및 EPSS 0.0023의 낮은 실측 악용 가능성으로 보아 광범위한 자동화 공격보다는 특정 환경에서의 가용성 저하 위험이 큽니다.

• 추정: 본 취약점은 단독으로 권한 상승이나 데이터 유출을 일으키지는 않으나, 시스템 관리자가 hang 상태를 해결하기 위해 강제 재부팅하거나 디버깅 모드로 진입하는 과정에서 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 가능성이 있습니다.
• 추정: 'Resource Exhaustion' 또는 'Deadlock/Hang' 유형의 결함으로, 서비스 가용성을 무너뜨린 후 시스템 복구 프로세스의 허점을 노리는 패턴으로 이어질 수 있습니다.

(1) 로그 지표:

• 커널 로그(dmesg, /var/log/syslog, /var/log/messages): NFSD 관련 타임아웃 메시지나 RPC 콜백 지연 관련 경고 확인.
• 프로세스 상태: ps 또는 top 명령어를 통해 nfsd 스레드가 장시간 'D' state(Uninterruptible sleep) 혹은 특정 락에 걸려 있는지 확인.
  (2) 탐지 규칙 예시:
• SIEM 의사코드 (프로세스 모니터링):
  SELECT host, process_name FROM process_events WHERE process_name == "nfsd" AND state == "D" AND duration > 600s
• 커널 로그 패턴 매칭:
  grep -Ei "nfsd4_shutdown_callback|cl_cb_inflight|nfsd hang" /var/log/syslog
  (3) 오탐 튜닝: 네트워크 일시적 단절이나 대규모 스토리지 재구성 작업 시에도 유사한 지연이 발생할 수 있습니다. 단순 지연이 아닌 '15분'이라는 특정 TCP 타임아웃 주기와 연동되어 반복되는지 확인하여 정밀도를 높입니다.

• 즉시(긴급 차단): NFSv4 서비스가 불필요한 호스트에서 비활성화하거나, 신뢰할 수 없는 클라이언트의 접근을 방화벽/ACL 수준에서 엄격히 제한합니다. (난이도: 하 / 영향: 낮음 / 검증: rpcinfo -p로 포트 확인)
• 단기(완화): 커널 파라미터 조정을 통해 TCP Keepalive 및 타임아웃 값을 최적화하여 hang 지속 시간을 단축시키는 방안을 검토합니다. (난이도: 중 / 영향: 중간 / 검증: sysctl 설정 확인)
• 근본(해결): 영향받는 커널 버전(5.10.220~, 5.15.154~, 6.1.129~ 등)을 패치된 최신 버전으로 업데이트합니다. nfsd4_run_cb_work에서 courtesy state인 경우 RPC 호출을 스킵하도록 수정된 패치를 적용해야 합니다. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r로 커널 버전 확인)

[파이프라인 근거] 본 분석은 다중 소스에서 일관성이 확인된 데이터를 기반으로 하며, 실측 EPSS 0.0023(낮은 악용 확률)과 CVSS 5.5를 근거로 우선순위를 'monitor'로 결정하였습니다. 이는 이론적 위험보다 실제 공격 가능성이 낮음을 의미하며, 패치 적용 전까지는 모니터링 중심의 대응이 효율적이라는 규칙 기반 판단에 따른 것입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0023 · exploit=hard · in_scope=None