[방어] 분석 — CVE-2026-31391

• 심각도 medium · CVSS 5.5 · EPSS 0.00117 · 악용난이도 hard

본 취약점은 Linux 커널의 crypto: atmel-sha204a 드라이버에서 메모리 할당 실패(OOM) 발생 시 참조 카운터(->tfm_count)를 적절히 감소시키지 않아 발생하는 리소스 누수 문제입니다.

1. 트리거: 로컬 권한을 가진 사용자가 /dev/atmel_sha204a 디바이스 파일에 접근하여 ioctl 등을 통해 암호화 기능을 호출합니다.
2. 상태 유발: 시스템 메모리가 고갈된 상태에서 할당 실패가 발생하면, 카운터가 감소되지 않은 채 유지됩니다.
3. 결과: 비정상적으로 유지된 ->tfm_count로 인해 이후의 Read 작업이 영구적으로 블로킹(Blocking)되어 해당 기능을 사용하는 프로세스가 응답하지 않는 DoS 상태에 빠집니다.
4. 심화 경로: 추정: 단순 누수를 넘어 Slab Allocator의 레이아웃을 조작하는 Heap Spraying 기법과 결합될 경우, 커널 함수 포인터를 덮어쓰는 로컬 권한 상승(LPE)으로 전이될 가능성이 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L과 PR:L에서 알 수 있듯, 공격자는 이미 시스템에 낮은 권한(Low Privilege)으로 접근하여 로컬 셸을 확보한 상태여야 하며, 네트워크를 통한 원격 실행은 불가능합니다. 공격 표면은 Linux 커널의 atmel-sha204a 드라이버 내 메모리 할당 로직이며, 특정 조건에서 OOM(Out of Memory) 상황을 유도하여 tfm_count 참조 횟수가 누수되게 함으로써 시스템 리소스를 고갈시키거나 프로세스를 블로킹하는 것이 트리거 조건입니다. EPSS 수치가 0.00117로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점임에도 불구하고 실제 야생(In-the-wild)에서 이를 악용해 성공한 사례가 극히 드물다는 것을 의미합니다. 결과적으로 로컬 권한 획득이라는 전제 조건과 정교한 메모리 상태 제어가 필요하므로 실질적인 악용 가능성은 낮으나, 커널 레벨의 가용성 저해를 초래할 수 있는 잠재적 위협입니다.

• 서비스 가용성 상실 (DoS): 암호화 하드웨어 가속 기능 정지 및 관련 커널 스레드의 Uninterruptible sleep(D state) 유발로 인한 시스템 행(Hang).
• 커널 메모리 오염: Slab 영역의 리소스 누수로 인해 커널 메모리 구조가 불안정해지며, 이는 잠재적인 권한 상승의 징검다리가 될 수 있습니다.

• Slab/Heap Manipulation 체이닝: 단독으로는 Medium 심각도이나, 메모리 압박을 유발하는 다른 커널 취약점과 결합하여 Slab 오염을 정교하게 유도함으로써 LPE로 확장될 수 있는 패턴입니다.

다중 소스 데이터의 일관성이 확인되었으며 영향 범위가 Kernel 5.3 ~ 6.19로 매우 광범위하므로, 하드웨어 탑재 여부와 관계없이 모듈 로드 상태를 전수 조사해야 합니다.

1. 로그 지표 및 패턴

• 로그 위치: /var/log/syslog, dmesg, /var/log/kern.log
• 핵심 필드: message, process_name, state
• 패턴: out of memory 또는 oom-killer 메시지 발생 직후, atmel_sha204a 관련 프로세스가 CPU 점유 없이 'D' 상태(Uninterruptible sleep)로 장시간 잔류하는 현상.

2. 탐지 규칙 예시 (SIEM 의사코드)

 1/* 시나리오: OOM 이벤트 발생 후 암호화 드라이버의 리소스 블로킹 징후 포착 */
 2SELECT timestamp, hostname, process_name, state
 3FROM kernel_event_logs
 4WHERE (message REGEXP 'out of memory|oom-killer')
 5  AND exists (
 6      SELECT 1 FROM proc_status 
 7      WHERE (comm = 'atmel_sha204a' OR cmdline LIKE '%sha204a%')
 8        AND state = 'D' -- Uninterruptible sleep
 9  )
10WINDOWING 5m;

3. 오탐 튜닝 및 한계

• 오탐 시나리오: 일반적인 메모리 부족으로 인한 시스템 전반의 I/O 지연(Disk Wait 등)과 구분이 어렵습니다.
• 튜닝 방법: atmel-sha204a 모듈이 로드된 호스트로 필터링하고, 특정 프로세스가 'D' 상태에서 임계값(예: 60초) 이상 머무는 경우만 탐지하여 정밀도를 높입니다.

실측 EPSS 수치가 0.00117로 매우 낮고 KEV 미등재, 악용 난이도가 hard인 점을 근거로 우선순위를 monitor로 결정하였으나, LPE 전이 가능성과 임베디드 환경의 가용성 리스크를 고려해 다음과 같이 대응합니다.

1. 즉시 (긴급 차단)

• 조치 A: 불필요한 경우 커널 모듈 로드를 완전히 차단(Blacklist).
  • echo "blacklist atmel-sha204a" > /etc/modprobe.d/atmel-sha204a.conf
• 조치 B (하드웨어 사용 시): /dev/atmel_sha204a 디바이스 파일의 퍼미션을 root 전용(chmod 600)으로 제한하고, SELinux/AppArmor 정책을 통해 비특권 사용자의 접근을 원천 차단합니다.
• 난이도/영향: 낮음 / 하드웨어 가속 불가 시 S/W 폴백으로 인한 성능 저하 가능성.
• 검증: lsmod | grep atmel_sha204a 또는 ls -l /dev/atmel_sha204a로 권한 확인.

2. 단기 (완화)

• 조치: OOM Killer의 타겟 우선순위(oom_score_adj)를 조정하여 핵심 서비스 보호 및 Swap 영역 확장을 통해 메모리 압박 상황 발생 빈도를 낮춥니다.
• 난이도/영향: 보통 / 시스템 전반의 메모리 관리 정책 변경에 따른 사이드 이펙트 가능성.
• 검증: cat /proc/[pid]/oom_score를 통해 설정값 반영 확인.

3. 근본 (해결)

• 조치: 영향받는 커널 버전(5.3 ~ 6.19 등)에서 해당 취약점이 해결된 최신 안정 버전으로 업그레이드 및 리부팅.
• 난이도/영향: 높음 / 커널 업데이트 후 하드웨어 드라이버 호환성 테스트 필수.
• 검증: uname -r을 통해 패치된 버전 반영 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00117 · exploit=hard · in_scope=None