[방어] 분석 — CVE-2026-23054

• 심각도 미상 · CVSS 미상 · EPSS 0.00173 · 악용난이도 hard

• 취약점 원리: hv_netvsc 드라이버에서 Receive Side Scaling(RSS) 설정 시 RX indirection table이 필수적입니다. 그러나 단일 수신 큐(single receive queue) 환경에서는 rndis_filter_device_add()가 해당 테이블을 할당하지 않습니다.
• 트리거 경로: 이 상태에서 RSS hash key 업데이트(netvsc_set_rxfh())를 시도하면, 유효하지 않은 테이블 참조로 인해 커널 수준의 Hang(시스템 정지)이 발생합니다.
• 단계: [단일 큐 환경 구성] $\rightarrow$ [RSS Hash Key 프로그래밍 요청] $\rightarrow$ [RX Indirection Table 부재 확인 실패] $\rightarrow$ [System Hang].

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판단되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터상 네트워크를 통한 접근(AV:N)이 가능할 수 있으나, Hyper-V 환경의 hv_netvsc 드라이버와 특정 하드웨어 구성(Single Receive Queue 및 RX indirection table 부재 상태)이라는 까다로운 전제조건이 충족되어야 하기 때문입니다. 공격 표면은 Linux 게스트 OS의 네트워크 인터페이스 설정 및 RSS(Receive Side Scaling) 해시 키 프로그래밍 관련 커널 엔드포인트에 국한됩니다. 특히 EPSS 수치가 0.00173으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 취약점임에도 불구하고 실제 야생(In-the-wild)에서 공격 시나리오가 구현된 사례가 거의 없음을 방증합니다. 결과적으로 트리거 조건이 특정 가상화 환경의 드라이버 상태와 밀접하게 결합되어 있어, 일반적인 외부 공격자가 이를 통해 시스템 권한을 획득하거나 원격 제어를 수행하기보다는 서비스 거부(Hang)를 유발하는 수준에 그칠 가능성이 높습니다.

• 가용성 상실: 커널 패닉 또는 시스템 정지(Hang)로 인해 해당 호스트의 모든 서비스가 중단되는 Denial-of-Service(DoS) 상태가 됩니다.
• 영향 범위: Hyper-V 가상화 환경에서 hv_netvsc 드라이버를 사용하는 Linux 게스트 OS에 국한됩니다.

• 유형: 커널 메모리 관리 및 하드웨어 설정 불일치로 인한 DoS 패턴입니다.
• 체이닝 가능성: 추정: 로컬 권한을 가진 공격자가 네트워크 설정을 강제로 변경할 수 있는 권한(CAP_NET_ADMIN 등)을 획득했을 때, 시스템 전체를 마비시키는 최종 단계의 공격으로 활용될 수 있습니다.

본 취약점은 특정 하드웨어 설정 상태에서의 함수 호출로 발생하므로, 일반적인 네트워크 트래픽 로그보다는 커널 메시지와 시스템 상태 모니터링이 핵심입니다.

• 로그 지표: dmesg 또는 /var/log/syslog, /var/log/kern.log 내의 hv_netvsc 관련 에러 및 하드 락업(Hard Lockup) 메시지.
• 탐지 규칙 예시 (SIEM/Log Analysis):
  1. 패턴 탐지: 커널 로그에서 RSS 설정 시도 중 발생하는 오류 패턴 감시.
     • Condition: message CONTAINS "hv_netvsc" AND message CONTAINS "RSS" AND message CONTAINS "error" (또는 유사한 하드웨어 설정 실패 메시지)
  2. 상태 기반 탐지 (의사코드):
     • IF (Guest_OS == Linux) AND (Driver == hv_netvsc) AND (RX_Queue_Count == 1) AND (RSS_Config_Attempt == True) THEN Alert(High_Risk_DoS)
  3. 시스템 정지 징후: 하트비트 모니터링 중 특정 가상머신(VM)의 응답이 갑자기 중단되고, Hyper-V 호스트에서 해당 VM의 CPU 점유율이 비정상적으로 고정되는 현상 감시.
• 오탐 튜닝: 정상적인 네트워크 드라이버 초기화 과정에서 발생하는 일시적 경고 메시지와 구분해야 합니다. 시스템 'Hang'으로 이어지는 반복적인 설정 시도나 특정 API 호출 패턴에 가중치를 둡니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 실측값(0.00173)과 exploit 등급(hard), KEV 미등재 사실을 근거로 우선순위를 monitor로 결정하였습니다. 실제 악용 가능성은 낮으나 가용성 영향이 크므로 다음과 같이 대응합니다.

• 즉시 (긴급 차단):
  • 조치: 단일 큐 환경의 VM에서 RSS(Receive Side Scaling) 관련 설정 변경 및 Hash Key 업데이트 시도를 금지하는 정책 적용.
  • 난이도/영향: 낮음 / 영향 없음 (정상 운영 중에는 드물게 발생하는 작업임).
  • 검증: ethtool 등을 이용한 RSS 설정 변경 시도 시 시스템 안정성 확인.
• 단기 (완화):
  • 조치: 가급적 다중 수신 큐(Multi-queue)를 활성화하여 RX indirection table이 정상적으로 할당되도록 구성 변경.
  • 난이도/영향: 중간 / 네트워크 성능 향상 효과가 있으나 Hyper-V 호스트 설정 변경 필요.
  • 검증: ethtool -l <interface> 명령어로 큐 개수 확인.
• 근본 (해결):
  • 조치: netvsc_set_rxfh() 함수에 ndc->rx_table_sz 체크 로직이 추가된 최신 커널 패치를 적용하여, 테이블 부재 시 -EOPNOTSUPP를 반환하도록 수정.
  • 난이도/영향: 중간 / 커널 업데이트에 따른 리부팅 필요(서비스 일시 중단).
  • 검증: 패치 버전 업데이트 후 uname -a 확인 및 벤더 제공 보안 권고문 대조.

잔여 리스크: 패치 이후에도 하드웨어 드라이버와 가상화 플랫폼 간의 다른 설정 불일치로 인한 유사한 DoS 가능성은 남아있을 수 있습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00173 · exploit=hard · in_scope=None