[분석가] 분석 — CVE-2024-36903
CVE‑2024‑36903 is a local kernel race condition in __ip6_make_skb() that may cause an uninitialized‑value access leading to denial‑of‑service, and the primary mitigation is to apply the upstream patch or upgrade the Linux kernel.
📋 요약
- 심각도 medium · CVSS 5.5 · EPSS 0.0023 · 악용난이도 hard
🔍 공격 기법
- 로컬 권한(Low)으로 IPv6 패킷을 가공하여 커널 내부
__ip6_make_skb()함수가 흐름 플래그(FLOWI_FLAG_KNOWN_NH)를 검사하는 시점과 다른 스레드가 해당 구조체를 초기화하는 시점을 경쟁하게 합니다. - 레이스가 발생하면 초기값이 아닌 메모리가 사용되어 커널 OOPS/패닉을 일으키며, 결과적으로 서비스 가용성이 중단됩니다(Availability High).
악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N는 로컬 환경에서 권한이 낮은 사용자라도 별도의 사용자 입력 없이도 취약 함수를 호출할 수 있음을 의미합니다. 실제 공격 조건으로는 IPv6 소켓을 생성하고 플래그 FLOWI_FLAG_KNOWN_NH를 조작하는 과정에서 레이스 컨디션이 발생하도록 특수한 패킷 흐름을 유도하면 됩니다. EPSS 값 0.0023은 현재 관측된 악용 사례가 매우 드물다는 것을 보여주며, KEV 목록에 등재되지 않은 점 역시 공개적으로 확인된 악성 코드나 공격 캠페인이 존재하지 않음을 시사합니다. 따라서 이 취약점은 이론적 심각도는 높지만 실전 위협은 제한적인 편이라고 판단됩니다. 공격 표면은 IPv6 스택 전반, 특히 AF_INET6 주소 패밀리를 이용하는 sendmsg·recvmsg와 같은 시스템 콜이 노출되는 모든 로컬 프로세스에 존재합니다. 결과적으로 로컬 사용자라면 비교적 낮은 난이도로 트리거를 구성할 수 있지만, 실제 악용 가능성은 EPSS와 KEV 미등재 상황으로 보아 낮게 평가됩니다.
💥 영향 분석
- 기술적 위험: 성공적인 악용 시 커널 패닉으로 시스템 재부팅 또는 서비스 중단이 발생합니다. 데이터 유출·시스템 장악·횡적 이동은 보고되지 않았으며, 기밀성·무결성에는 영향을 주지 않습니다(C:N/I:N/A:H).
- 비즈니스 영향: 가용성 손실로 인한 서비스 중단·복구 비용이 발생할 수 있습니다. 특히 클라우드 호스팅 환경이나 온‑프레미스 서버에서 연속 운영이 요구되는 경우 SLA 위반 위험이 존재합니다.
- 영향 제품 및 노출 규모: Linux kernel 4.14.313‑4.15, 4.19.281‑4.20, 5.4.241‑5.5, 5.10.178‑5.11, 5.15.107‑5.16, 6.1.24‑6.2, 6.2.11‑6.6.31, 6.7‑6.8.10 등 총 8개의 주요 버전 대역이 해당됩니다. 다중 릴리즈에 걸쳐 존재하므로 광범위한 공급망 노출 가능성이 있습니다(품질 신호).
🔗 관련 취약점·체이닝
- IPv4에서 동일한 패턴으로 해결된
CVE‑2023‑xxxx(예시)와 같이, 초기화되지 않은 값 접근을 이용한 로컬 DoS가 연쇄적으로 발생할 수 있습니다. - 현재 확인된 체이닝 사례는 없으며, 별도 권한 상승이나 원격 코드 실행을 위한 직접적인 연결은 보고되지 않았습니다.
🔎 탐지
- 커널 로그(dmesg, /var/log/kern.log)에서
uninit-value혹은__ip6_make_skb와 연관된 OOPS/BUG 메시지를 모니터링합니다. - auditd 또는 eBPF 기반 트레이싱으로
ipv6_rcv→__ip6_make_skb호출 경로에 비정상적인 레이스 타이밍(짧은 인터벌의 반복 패킷) 발생 시 알림을 설정합니다. - 네트워크 IDS/IPS에서 비정형 IPv6 헤더 조각화 혹은 비정상적인 플래그 조합을 탐지하는 규칙을 적용할 수 있습니다.
🛡️ 완화 방안
- 패치 적용: 커밋
fc1092f51567이 포함된 최신 커널 버전으로 업데이트합니다(취약 구간을 벗어난 버전). - 임시 조치: IPv6 사용이 불필요한 경우
sysctl -w net.ipv6.conf.all.disable_ipv6=1로 비활성화하거나, 방화벽에서 inbound IPv6 트래픽을 차단합니다. - 모니터링 강화: 위 탐지 지표를 기반으로 실시간 알림을 구성하고, OOPS 발생 시 자동 재부팅·서비스 복구 절차를 준비합니다.
본 보고서는 다중 소스 교차검증이 일관됨을 확인했으며([교차검증]), EPSS 0.0023(실측 악용 예측)과 hard 등급의 exploit 난이도, 그리고 비 KEV 상태·CVSS 5.5를 고려해 “monitor” 우선순위로 판단되었습니다([우선순위 결정]).
⚖️ 위험도 / 우선순위
- 조치: monitor (모니터링)
- 근거: CVSS=5.5 · non-KEV · EPSS=0.0023 · exploit=hard · in_scope=None