[공격] 분석 — CVE-2026-31680

• 심각도 high · CVSS 7.8 · EPSS 0.00126 · 악용난이도 hard

본 취약점은 Linux 커널의 IPv6 flowlabel 관리 로직에서 객체 생명주기 제어 실패로 발생하는 Use-After-Free (UAF) 및 Race Condition이다.

• 공격 표면: /proc/net/ip6_flowlabel 파일(Read 인터페이스) 및 IPv6 Flowlabel 생성/삭제 요청.
• 트리거 조건:
  1. Exclusive flowlabel을 생성하여 fl->opt 옵션 블록이 할당된 상태여야 함.
  2. fl_release()가 호출되어 fl->users가 0이 되는 순간 fl->opt가 즉시 kfree()됨.
  3. 동시에 다른 프로세스가 /proc/net/ip6_flowlabel을 읽어 ip6fl_seq_show() 함수를 통해 해당 객체에 접근함.
• 공격 체인:
  1. 정찰 및 초기접근: 로컬 사용자 권한(PR:L) 획득. /proc/net/ip6_flowlabel 읽기 권한 확인.
  2. 레이스 컨디션 유도: 다수의 스레드를 사용하여 flowlabel의 생성-삭제와 /proc 파일 읽기를 반복적으로 수행.
  3. 실행 (UAF 트리거): fl->opt가 해제되었으나 전역 해시 테이블에는 struct ip6_flowlabel이 여전히 남아있는 찰나의 시점에 ip6fl_seq_show()가 fl->opt->opt_nflen을 역참조.
  4. 영향: 잘못된 메모리 주소 참조로 인한 커널 패닉(DoS) 유발.
• CVSS 벡터 연결: AV:L/AC:L/PR:L/UI:N은 로컬 권한을 가진 사용자가 특별한 사용자 상호작용 없이 낮은 복잡도로 트리거할 수 있음을 의미함.

악용 가능성: 본 취약점은 AV:L/PR:L 벡터가 나타내듯, 공격자가 이미 시스템에 로그인하여 낮은 권한의 쉘을 확보한 상태에서만 트리거 가능한 로컬 권한 상승 또는 서비스 거부(DoS) 위협입니다. 공격 표면은 /proc/net/ip6_flowlabel 엔드포인트이며, IPv6 flowlabel 해시 테이블을 읽는 ip6fl_seq_show() 함수와 객체를 해제하는 fl_release() 사이의 Race Condition을 이용합니다. 특히 fl->opt가 RCU teardown 이전에 조기 해제되는 윈도우를 정밀하게 타격해야 하므로, 이론적 난이도는 매우 높으며 이는 EPSS 0.00126이라는 낮은 실측값과 KEV 미등재 상태로 증명됩니다. 공격자는 특정 IPv6 옵션을 포함한 flowlabel을 생성 및 삭제하는 루프와 /proc 파일을 읽는 프로세스를 동시에 실행하여 Use-After-Free(UAF)를 유도해야 합니다. 결과적으로 메모리 레이아웃을 정밀하게 제어할 수 있다면 임의 코드 실행으로 이어질 가능성이 있으나, 일반적인 환경에서는 커널 패닉을 통한 시스템 크래시 유발 가능성이 더 높습니다. 따라서 이 취약점은 외부망 노출 위협보다는 내부 침투 후 권한 상승(Privilege Escalation) 단계에서 체이닝될 수 있는 잠재적 경로로 분석됩니다.

• 가용성 붕괴 (DoS): 커널 패닉으로 인한 시스템 즉시 다운. 특히 컨테이너/VM 다중 테넌시 환경에서는 호스트 커널 공유 특성상 단일 테넌트의 공격이 전체 인프라 서비스 중단(SPOF)으로 이어짐.
• 권한 상승 (LPE): 추정: 단순 크래시를 넘어, 해제된 fl->opt 영역에 공격자가 제어하는 데이터를 배치(Heap Grooming)할 수 있다면 커널 모드에서의 임의 코드 실행 및 권한 상승 가능성이 존재함.

• 메모리 레이아웃 조작 체이닝: UAF 특성상 kmalloc-X 슬랩 할당자의 빈 공간을 정밀하게 제어하는 Heap Grooming 기법과 체이닝될 가능성이 높음.
  • 패턴: UAF (CVE-2026-31680) $\rightarrow$ Slab Object Replacement $\rightarrow$ Function Pointer Overwrite $\rightarrow$ Privilege Escalation.
• 정보 유출 체이닝: 추정: /proc 인터페이스를 통한 커널 메모리 주소 유출(KASLR 우회) 취약점과 결합될 경우, LPE 공격의 성공률을 극대화할 수 있음.
• 다중 테넌시 전이: 컨테이너 격리 수준이 낮을 경우, 낮은 권한의 컨테이너 사용자가 호스트 커널의 취약점을 건드려 전체 노드를 마비시키는 가용성 공격으로 확장됨.

• 시스템 로그: dmesg 또는 /var/log/syslog에서 ip6fl_seq_show 함수 호출 중 발생하는 Kernel panic - not syncing: Fatal exception in interrupt 또는 General protection fault 패턴 감시.
• 행위 기반 탐지: 짧은 시간 내에 /proc/net/ip6_flowlabel에 대한 비정상적으로 빈번한 Read 요청과 IPv6 소켓 생성/삭제가 반복되는 프로세스 모니터링.

• 즉시 조치: /proc/net/ip6_flowlabel 파일의 접근 권한을 root로 제한하여 일반 사용자의 읽기 시도를 차단.
• 근본 해결: fl->opt의 해제 시점을 fl_free_rcu() 단계까지 지연시키는 최신 커널 패치 적용.
• 운영 전략: 다중 테넌시 환경에서는 재부팅 리스크를 줄이기 위해 kpatch 또는 kgraft 같은 라이브 패치 검토, 불가 시 무중단 롤링 배포 수행.

[파이프라인 근거] 본 분석은 다중 소스 간 일관성이 확인된 사실을 바탕으로 작성되었습니다. EPSS 실측값(0.00126)은 현재 실제 악용 사례가 적음을 뜻하나, CVSS 7.8 및 커널 공유 환경의 치명성을 고려하여 'scheduled' 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00126 · exploit=hard · in_scope=None