[공격] 분석 — CVE-2026-23456

• 심각도 high · CVSS 8.2 · EPSS 0.00523 · 악용난이도 moderate

• 공격 표면 (Attack Surface):

  • 프로토콜: H.323/RAS (Registration, Admission, and Status).
  • 노출 지점: Linux 커널의 netfilter 프레임워크 내 nf_conntrack_h323 모듈. 외부에서 유입되는 네트워크 패킷이 커널 공간(Kernel Space)에서 직접 처리됨.
  • 취약 함수: decode_int() 내 CONS 케이스.

• 트리거 원리 및 경로:

  1. 정찰: 대상 서버가 H.323 트래픽을 처리하고 있으며, nf_conntrack_h323 모듈이 로드되어 있는지 확인.
  2. 초기 접근 (Trigger): 조작된 H.323/RAS 패킷 송신.
  3. 결함 유발: decode_int() 함수가 get_bits(bs, 2)를 통해 길이(len) 값을 읽음 $\rightarrow$ 이후 get_uint(bs, len)를 호출하여 데이터를 읽으려 함. 이때 len 바이트가 버퍼에 실제로 남아있는지 검증하는 로직이 누락됨.
  4. 실행 (OOB Read): 버퍼 경계를 넘어선 1~4바이트의 메모리를 읽는 Slab-out-of-bounds read 발생.

• 공격 체인 및 전제 조건:

  • 전제: AV:N/AC:L/PR:N/UI:N 벡터에 따라 인증 없이 네트워크를 통해 원격으로 트리거 가능.
  • 단계: [Malformed Packet 송신] $\rightarrow$ [Kernel Memory Read (OOB)] $\rightarrow$ [정보 유출 또는 커널 패닉].

악용 가능성: 본 취약점은 네트워크를 통해 인증 없이(AV:N/PR:N) 특수하게 조작된 H.323/RAS 패킷을 전송함으로써 트리거되는 Slab Out-of-Bounds Read 결함입니다. 공격 표면은 Linux 커널의 nf_conntrack_h323 모듈 내 decode_int() 함수이며, 특히 CONS 케이스에서 길이 값 검증 없이 get_uint()를 호출하는 지점이 핵심 엔드포인트가 됩니다. 공격 난이도는 낮으나(AC:L), 실제 획득 가능한 정보량이 1~4바이트로 매우 제한적이어서 단독으로 시스템 권한을 탈취하기에는 한계가 있습니다. EPSS 수치(0.00523)와 KEV 미등재 상태는 현재 이 취약점이 대규모 자동화 공격에 활용되고 있지는 않음을 시사합니다. 하지만 커널 메모리 영역의 데이터를 유출할 수 있다는 점에서, 다른 메모리 손상 취약점과 체이닝하여 ASLR(Address Space Layout Randomization)을 무력화하는 정보 유출(Information Leak) 단계로 악용될 가능성이 큽니다. 결과적으로 단순 Crash보다는 정밀한 익스플로잇 체인의 일환으로 사용될 위험이 있는 Moderate 등급의 위협입니다.

• 메모리 정보 유출: Slab 영역의 인접한 데이터(커널 포인터, 민감한 구조체 등) 1~4바이트가 노출될 수 있음.
• 가용성 저해 (DoS): 잘못된 메모리 참조로 인한 커널 패닉 및 시스템 크래시 유발 가능 (A:H).

• 정보 유출 $\rightarrow$ 방어 우회:
  • 단순 OOB read는 직접적인 RCE를 일으키지 않으나, 유출된 메모리 값을 통해 커널 베이스 주소를 식별할 수 있음.
  • 추정: 이는 KASLR(Kernel Address Space Layout Randomization)을 무력화하는 전단계로 활용될 가능성이 매우 높음.
• 체이닝 경로 (유형 수준):
  • Memory-Corruption (OOB Read) $\rightarrow$ KASLR Bypass $\rightarrow$ 다른 Kernel Write/Execution 취약점 결합 $\rightarrow$ LPE (Local Privilege Escalation) 또는 Remote Code Execution.
  • 추정: 단독으로는 영향력이 제한적이나, 메모리 레이아웃을 파악한 후 다른 Memory Corruption 취약점을 정밀 타격하는 'Primitive'로 사용됨.

• 네트워크 레벨: 비정상적으로 짧거나 구조가 깨진 H.323/RAS 패킷(특히 decode_int를 트리거하는 CONS 필드 조작) 유입 모니터링.
• 커널 레벨: nf_conntrack_h323 모듈 로드 여부 확인 및 관련 커널 로그에서 Slab-out-of-bounds 관련 덤프/패닉 발생 여부 감시.

• 즉시 조치: H.323 서비스가 불필요한 경우 modprobe -r nf_conntrack_h323를 통해 해당 모듈을 언로드하거나, 방화벽에서 관련 포트를 차단하여 공격 표면 제거.
• 근본 해결: 영향받는 광범위한 커널 버전(2.6.17 ~ 6.19.10 등)에 대해 decode_int() 내 경계 검사 로직이 추가된 최신 보안 패치 적용.

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 [교차검증] 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00523(백분위 0.41452)으로 낮게 측정되어 실제 야생에서의 악용 빈도는 현재 moderate 수준이나, CVSS 8.2의 높은 이론적 심각도와 광범위한 영향 제품 범위를 고려하여 '이번 주 내 처리'하는 scheduled 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.2 · non-KEV · EPSS=0.00523 · exploit=moderate · in_scope=None