[분석가] 분석 — CVE-2025-71098

• 심각도 medium · CVSS 5.5 · EPSS 0.00114 · 악용난이도 hard

• 트리거: mld_newpack() 함수가 skb를 할당할 때 reserve/headroom을 너무 작게 설정한 상태에서, ip6gre 장치가 연결된 환경의 mld_sendpack()이 호출될 때 발생합니다.
• 원리: team 또는 bonding 드라이버가 dev->needed_headroom이나 dev->hard_header_len을 동적으로 변경하는 과정에서, ip6gre_header() 함수가 요구하는 헤더 공간이 부족하여 skb_push() 호출 시 skb_under_panic이 트리거됩니다.
• 경로: Local 권한을 가진 사용자가 특정 네트워크 구성(IPv6 GRE 터널링 및 Bonding/Team 드라이버 사용) 환경에서 커널 패닉을 유도하는 경로입니다.

악용 가능성: 본 취약점은 AV:L/PR:L 벡터에 따라 공격자가 대상 시스템에 이미 낮은 권한의 계정을 보유하고 로컬 네트워크 인터페이스를 제어할 수 있는 환경이어야 하므로 공격 난이도는 Hard로 판정됩니다. 공격 표면은 Linux 커널의 ip6gre_header() 함수이며, 구체적으로는 mld_newpack()에서 할당된 skb의 headroom 부족 상태에서 ip6gre 디바이스가 동적으로 결합될 때 발생하는 메모리 오버런(Underflow) 지점입니다. 트리거 조건은 Team 또는 Bonding 드라이버가 dev->needed_headroom과 dev->hard_header_len을 동적으로 변경하는 특수한 네트워크 구성 상황이 전제되어야 합니다. EPSS 수치는 0.00114로 매우 낮고 KEV에 등재되지 않아 야생(In-the-wild)에서의 능동적인 악용 사례는 미관측된 상태입니다. 따라서 이론적인 커널 패닉 유발 가능성은 존재하나, 실제 공격자가 로컬 권한을 획득한 후 정교하게 타이밍과 네트워크 인터페이스 상태를 조작해야 하므로 실질적인 악용 가능성은 낮습니다.

• 기술적 위험: 본 취약점은 kernel BUG를 통한 시스템 크래시(Kernel Panic)를 유발합니다. CVSS 벡터(AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)에서 확인되듯, 기밀성(C)과 무결성(I) 영향은 없으나 가용성(A)에 치명적인 영향을 줍니다.
• 비즈니스 리스크: 시스템 전체가 중단되는 Denial-of-Service(DoS) 상태가 되므로, 해당 커널을 사용하는 서버의 서비스 가동률(Uptime) 저하 및 비즈니스 연속성 단절이 주요 리스크입니다.
• 노출 규모: 영향 제품 범위가 Linux Kernel 3.7.1부터 6.18.4까지 매우 광범위하며, 다수의 메인라인 버전과 LTS 버전이 포함되어 있어 공급망 관점의 잠재적 노출 규모가 매우 큽니다.

• 패턴: skbuff 메모리 관리 미흡으로 인한 Out-of-bounds 접근 또는 Underflow 패턴에 해당합니다.
• 체이닝: 단독으로는 가용성 저하만 일으키나, 추정: 다른 권한 상승 취약점과 결합하여 시스템의 특정 상태를 강제하거나 디버깅 모드 진입을 유도하는 용도로 활용될 가능성이 있습니다.

• 커널 로그: dmesg 또는 /var/log/syslog에서 skb_under_panic, ip6gre_header, skb_push 키워드가 포함된 Kernel BUG 스택 트레이스 및 패닉 메시지를 모니터링합니다.
• 패턴 예시: kernel BUG at net/core/skbuff.c:213 !와 함께 ip6gre_header 함수 호출 경로가 나타나는지 확인합니다.

• 근본 해결: 영향을 받는 Linux Kernel 버전을 최신 패치 버전으로 업데이트하여 ip6gre_header()의 견고성(robustness) 개선 사항을 적용합니다.
• 즉시 조치: 불필요한 IPv6 GRE 터널링 설정을 비활성화하거나, bonding/team 드라이버의 동적 설정 변경이 필요한 환경인지 검토하여 노출 면을 최소화합니다.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00114로 매우 낮으며, 이는 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 희박함을 의미합니다. 이에 따라 KEV 미등재 및 exploit 난이도(hard)를 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00114 · exploit=hard · in_scope=None