[분석가] 분석 — CVE-2026-31521

• 심각도 medium · CVSS 5.5 · EPSS 0.00125 · 악용난이도 hard

• 로컬 사용자가 커널 모듈을 로드할 때 ELF 심볼 테이블의 st_shndx 값이 범위를 초과하면(SHN_XINDEX 등) simplify_symbols() 함수가 잘못된 섹션 주소를 참조한다.
• 이 잘못된 주소 연산으로 커널 페이지 폴트가 발생하고, 결과적으로 kernel panic → 시스템 중단이 일어난다.
• 공격자는 악의적인 모듈(또는 손상된 ELF 파일)을 준비해 로드함으로써 위 과정을 트리거한다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 로컬 환경에서 공격자가 별다른 복잡성 없이 낮은 권한만으로 사용자 개입 없이도 취약점을 이용할 수 있음을 의미합니다. 실제로는 공격자가 악의적인 ELF 모듈을 준비하고, insmod 혹은 modprobe 와 같이 커널에 로드 가능한 엔드포인트를 통해 해당 모듈을 삽입하면 simplify_symbols() 루틴에서 st_shndx 값이 범위를 초과하는 경우가 발생합니다. EPSS = 0.00125 라는 실측 확률은 이 취약점이 현재까지 실제 악용 사례가 거의 없지만, 공격 가능성이 완전히 배제되지 않음을 보여줍니다. KEV 목록에 등재되지 않은 점은 야생(실전)에서 관측된 악용이 아직 보고되지 않았다는 의미이며, 따라서 위협 인식 수준을 “hard” 로 유지합니다. 노출되는 공격 표면은 커널 모듈 로더와 해당 모듈이 접근 가능한 파일 시스템 경로이며, 로컬 사용자라면 충분히 접근 가능하므로 방어자는 이 인터페이스에 대한 권한 관리와 로깅을 강화해야 합니다. 따라서 난이도는 낮지만, 로컬 특권 상승 시나리오가 존재함을 감안해 사전 대응이 필요합니다.

• 기술적 위험: 커널 패닉에 따른 서비스 중단(Denial‑of‑Service). 데이터 유출·시스템 장악·횡적 이동은 발생하지 않음(Confidentiality / Integrity = None, Availability = High).
• 비즈니스 리스크:
  • 가용성 손실 → SLA 위반, 운영 비용 증가.
  • 핵심 인프라에 적용된 경우 규제·컴플라이언스(예: 금융·공공 서비스)에서 서비스 지속 의무 위반 위험.
• 영향 제품·노출 규모: Linux kernel 2.6.12.1‑5.15.203, 5.16‑6.1.168, 6.2‑6.6.131, 6.7‑6.12.80, 6.13‑6.18.21, 6.19‑6.19.11 전 버전에 적용되며, 다수 배포판·클라우드 이미지에 광범위하게 포함됨([교차검증] : 다중 소스에서 일관성이 확인되었습니다).

• 추정: 동일 모듈 로더에서 발생할 수 있는 메모리‑오버플로우(CWE‑119)·범위 초과 접근(CWE‑787) 취약점과 결합하면, 커널 권한 상승이나 임의 코드 실행으로 확장될 가능성이 있다.
• 이러한 유형은 과거에 모듈 서명 검증 우회를 통해 특권 획득 단계와 연결된 사례가 보고되었으며, 본 CVE와 직접적인 연계는 확인되지 않았다.

• 커널 로그(dmesg/journalctl)에 “BUG: unable to handle page fault for address …” 및 simplify_symbols+0x…/0x480 스택 트레이스가 기록될 경우.
• 시스템이 비정상적으로 재부팅되거나 panic 로그가 남는 경우, 모듈 로드 시도와 연계된 타임스탬프를 추적한다.
• auditd 혹은 LSM(SELinux/AppArmor)에서 모듈 로드 실패 이벤트(module_load)를 모니터링하고, 비정상적인 ELF 섹션 인덱스를 가진 파일 로드를 경보로 전환한다.

• 즉시 조치: 신뢰할 수 없는 서드‑파티 모듈 로드를 차단하고, 이미 로드된 모듈에 대해 서명 검증을 적용한다.
• 근본 해결: 해당 커널 버전에 포함된 패치를 적용한다(버그 수정이 포함된 최신 커널 또는 백포트).
• 패치 적용이 어려운 경우, 서비스 중단 위험이 큰 시스템에서는 CONFIG_MODULES=n 로 빌드하여 모듈 로딩 자체를 비활성화한다.
• EPSS 0.00125(실측 악용예측)와 medium CVSS 점수(5.5)를 고려한 [우선순위 결정]에 따라, 위 조치를 중간‑높은 우선순위로 분류하여 패치 배포 일정을 앞당긴다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00125 · exploit=hard · in_scope=None