[단독분석] 분석 — CVE-2025-22056

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

• 원리: netfilter 내 nft_tunnel 모듈이 NFTA_TUNNEL_KEY_OPTS_GENEVE 속성을 파싱할 때, 포인터 연산을 char * 단위가 아닌 잘못된 타입으로 수행하는 Type Confusion 발생.
• 경로: 로컬 권한을 가진 사용자가 다수의 GENEVE 옵션을 포함하도록 조작된 nftables 룰을 설정하여 트리거.
• 단계: nft_tunnel_obj_init 함수 내 잘못된 포인터 계산 $\rightarrow$ 할당된 힙 영역 외부로 데이터가 쓰이는 Heap Out-of-bounds Write 발생 $\rightarrow$ 커널 메모리 오염을 통한 임의 코드 실행 또는 시스템 패닉 유발.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 내 nft_tunnel 모듈에서 발생하는 Type Confusion으로 인한 Heap Out-of-Bounds Write 취약점입니다. 공격자는 NFTA_TUNNEL_KEY_OPTS_GENEVE 속성을 처리하는 파싱 로직의 포인터 연산 오류를 이용하여 커널 메모리에 임의 데이터를 기록할 수 있습니다. 다만, CVSS 벡터상 AV:L(Local) 및 PR:L(Low) 조건이 요구되므로, 공격자는 대상 시스템에 이미 일반 사용자 권한의 셸 접근 권한을 확보하고 있어야 하며 이는 공격 난이도를 높이는 주요 요인입니다. EPSS 수치가 0.00258로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도에 비해 즉각적인 대규모 공격 가능성은 낮은 것으로 분석됩니다. 주요 공격 표면은 GENEVE 프로토콜 옵션을 처리하는 커널 엔드포인트이며, 특수하게 조작된 nftables 규칙을 주입하여 트리거합니다. 결과적으로 로컬 권한 상승(LPE)으로 이어질 수 있는 잠재력은 있으나, 실행 환경의 제약과 낮은 실측 위협 지표로 인해 악용 가능성은 제한적인 'Hard' 등급으로 판단됩니다.

• 영향 제품: Linux Kernel (버전 925d844696d9287f841d6b3e0ed62a35fb17597 $\le$ x $<$ 31d49eb436f2da61280508d7adf8c9b473b967aa 및 Linux 5.7).
• 기술적 위험: CVSS 7.8(High)의 Memory-Corruption 취약점으로, 성공적인 악용 시 커널 권한을 탈취하는 로컬 권한 상승(LPE) 또는 시스템 가용성을 즉각적으로 파괴하는 DoS(Kernel Panic)가 가능함.
• 비즈니스 리스크: AV:L/PR:L 조건으로 인해 외부 직접 공격은 불가능하나, 이미 내부망에 침투한 공격자가 루트 권한을 획득할 경우 시스템 전체 제어권 상실 및 데이터 유출로 이어질 수 있음.
• 위협 맥락 및 우선순위: 다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, KASAN 리포트를 통해 slab-out-of-bounds 쓰기 동작이 실측됨. 다만 EPSS 수치가 0.00258(백분위 0.17362)로 매우 낮고 KEV에 등재되지 않아 야생에서의 실제 악용 사례는 미관측 상태임. 이에 따라 즉각적인 대규모 공격 가능성은 낮으나, 잠재적 영향력을 고려하여 이번 주 내(scheduled) 대응을 권고함.

• 유형 연계: Linux Kernel Netfilter 모듈의 메모리 관리 및 타입 캐스팅 오류 패턴과 유사한 Memory-Corruption 유형임.
• 체이닝 가능성: 초기 침투 단계 이후, 샌드박스 우회나 권한 상승을 위해 다른 커널 취약점과 결합하여 사용될 수 있음.

• 커널 로그: BUG: KASAN: slab-out-of-bounds in nft_tunnel_obj_init 메시지와 함께 출력되는 Call Trace 모니터링.
• 행위 지표: 비정상적으로 다량의 GENEVE 옵션을 포함한 nftables 설정 변경 시도 탐지.

• 근본 해결: 취약점이 수정된 최신 Linux 커널 버전으로 업데이트 및 패치 적용.
• 즉시 조치: 불필요한 경우 nft_tunnel 모듈 로드를 제한하고, CAP_NET_ADMIN 권한을 가진 계정을 최소화하여 일반 사용자의 netfilter 룰 설정 차단.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None