[분석가] 분석 — CVE-2025-21707

• 심각도 medium · CVSS 5.5 · EPSS 0.00212 · 악용난이도 hard

(1) 트리거 조건: MPTCP(Multi-Path TCP) 프로토콜의 sub-option 파싱 과정에서 특정 bitmask는 초기화되나, 이에 대응하는 세부 bitfield들이 적절히 초기화되지 않은 상태로 __mptcp_expand_seq 등의 함수에서 참조될 때 발생합니다.
(2) 공격 단계:

• 정찰 및 접근: 대상 시스템이 MPTCP를 활성화하고 있는지 확인하며, 로컬 권한을 가진 사용자가 접근해야 합니다.
• 실행: 특수하게 조작된 MPTCP 옵션을 포함한 패킷을 생성하여 커널의 mptcp_incoming_options 경로를 트리거합니다.
• 영향: 초기화되지 않은 값(uninit-value)이 연산에 사용되어 커널 패닉 또는 비정상 동작을 유발합니다.
  (3) 공격 표면: Linux Kernel 내 MPTCP 프로토콜 스택 및 관련 옵션 처리 로직(net/mptcp/options.c).
  (4) CVSS 벡터 연결: AV:L (Local)과 PR:L (Low Privilege)에 따라, 네트워크 외부의 원격 공격자가 아닌 시스템에 이미 접근 권한을 가진 저권한 사용자가 로컬에서 트리거할 수 있는 조건입니다.

악용 가능성: 본 취약점은 Linux kernel의 MPTCP(Multipath TCP) 프로토콜 내 sub-option 처리 과정에서 발생하는 초기화되지 않은 메모리 참조(uninit-value) 문제입니다. 공격 난이도는 hard로 평가되며, 이는 AV:L(Local) 벡터에 따라 공격자가 이미 시스템에 접근하여 권한을 가진 상태에서 커널 인터페이스에 도달해야 함을 의미합니다. AC:L(Low)과 PR:L(Low) 조건은 일단 로컬 접근 권한이 확보되면 특별한 환경적 제약 없이 트리거가 가능함을 시사하지만, 실제 익스플로잇을 통한 권한 상승이나 임의 코드 실행으로 연결하기에는 커널 메모리 구조의 복잡성이라는 높은 진입장벽이 존재합니다. 공격 표면은 MPTCP 프로토콜의 sub-option 파싱 루틴이며, 특히 __mptcp_expand_seq와 같은 내부 함수에서 비트마스크 및 관련 필드가 일관되게 초기화되지 않는 지점이 주요 타깃입니다. EPSS 수치가 0.00212로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점 존재 여부와 별개로 실제 야생(In-the-wild)에서 악용된 사례가 극히 드물거나 탐지되지 않았음을 뒷받침합니다. 따라서 본 취약점의 악용 가능성은 낮으나, 로컬 공격자가 커널 패닉을 유도하거나 메모리 누수를 통해 정보를 획득하려는 정밀한 타깃 공격 시나리오에서 잠재적 위험이 존재합니다.

(1) 기술적 위험: 초기화되지 않은 메모리 값 참조로 인한 커널 불안정성이 주된 위험입니다. 이는 KMSAN 탐지 결과와 같이 uninit-value를 유발하며, 최종적으로 시스템 크래시(Kernel Panic) 및 서비스 거부(DoS) 상태로 이어질 수 있습니다.
(2) 비즈니스 영향: 커널 수준의 장애는 서버 전체의 가용성 중단으로 이어집니다. 다만, 원격 실행이 불가능하고 로컬 권한이 필요하므로 외부 침입에 의한 즉각적인 서비스 중단보다는 내부 사용자나 이미 침투한 공격자에 의한 시스템 무력화 리스크가 큽니다.

• 추정: 본 취약점은 '초기화되지 않은 메모리 참조' 유형으로, 단독으로는 DoS를 유발하지만, 추정컨대 커널 메모리의 특정 레이아웃을 조작할 수 있는 다른 메모리 손상 취약점과 체이닝될 경우 정보 유출(Information Leak)이나 권한 상승(Privilege Escalation)의 징검다리로 활용될 가능성이 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 BUG: KMSAN: uninit-value 또는 MPTCP 관련 kernel panic 스택 트레이스 확인.
(2) 탐지 규칙 예시:

• 로직: dmesg | grep -E "mptcp_incoming_options|__mptcp_expand_seq"
• SIEM 쿼리(의사코드): index=kernel_logs message="*uninit-value*" AND path="*net/mptcp/options.c*"
  (3) 오탐 시나리오: 커널 디버깅 모드(KMSAN 활성화 상태)에서 정상적인 네트워크 부하 테스트 중 발생할 수 있습니다. 실제 운영 환경의 Production 커널에서는 KMSAN이 꺼져 있으므로, 단순 패닉 로그와 함께 MPTCP 트래픽 급증 여부를 교차 분석하여 튜닝해야 합니다.

• 즉시(긴급 차단): MPTCP 기능 비활성화. sysctl 또는 커널 모듈 언로드(modprobe -r mptcp)를 통해 공격 표면을 제거합니다. (난이도: 저 / 영향: MPTCP 사용 서비스 불가 / 검증: lsmod | grep mptcp 확인)
• 단기(완화): 로컬 사용자 권한 제한 및 불필요한 네트워크 소켓 생성 권한 제어. (난이도: 중 / 영향: 운영 설정 변경 필요 / 검증: 권한 테스트)
• 근본(해결): 영향을 받는 버전(5.11 - 6.12.13, 6.13 - 6.13.2 등)에서 수정 사항이 반영된 최신 커널 버전으로 업데이트합니다. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r 버전 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00212) 수치가 매우 낮고 KEV에 등재되지 않았으며 공격 난이도가 'hard'라는 점을 근거로 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도(CVSS 5.5)보다 실제 악용 가능성이 현저히 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00212 · exploit=hard · in_scope=None