[방어] 분석 — CVE-2025-68788

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

특수 파일(예: /dev/null)에 대한 읽기/쓰기 권한이 없는 사용자가 해당 파일이 포함된 디렉터리(/dev 등)에 대해 inotify/fanotify 워치를 설정하면, 커널은 ACCESS·MODIFY 이벤트를 부모 워치에 전달한다.
이를 통해 공격자는 파일 자체에 접근할 수 없어도 atime/mtime 변화가 발생했는지 추론하여 정보 유출(side‑channel) 가능하다.

악용 가능성: 해당 취약점은 AV = Local, AC = Low, PR = None, UI = None 로 해석됩니다. 즉, 공격자는 대상 시스템에 직접 로그인하거나 쉘을 획득한 뒤, 읽기 권한이 있는 디렉터리(예: /dev)에 대해 inotify_add_watch·fanotify_mark 를 호출하기만 하면 되며 별도의 복잡한 전처리나 사용자 상호작용이 필요하지 않습니다. 그러나 특수 파일( /dev/null 등)에서만 이벤트가 발생하도록 설계된 점 때문에, 일반 파일에 비해 실제 공격 시나리오가 제한적이며, 해당 파일을 관찰할 수 있는 권한 자체도 로컬 사용자에게만 부여됩니다. EPSS = 0.00177(≈0.18 %)이라는 실측값은 현재까지 이 취약점이 악용된 사례가 극히 드물다는 것을 보여주며, KEV 리스트에 등재되지 않은 점 역시 공개적인 공격 도구나 캠페인에서 아직 활용되고 있지 않음을 의미합니다. 따라서 난이도는 “hard” 로 평가되지만, 로컬 사용자 계정이 확보된 환경에서는 inotify·fanotify 시스템 콜과 파일 경로(parent_dir) 및 마스크(`IN_ACCESS/

• 정보 노출 – 특수 파일에 대한 읽기·쓰기 동작(예: 다른 프로세스가 /dev/null에 데이터를 쓰는 경우)을 간접적으로 확인함으로써 시스템 내부 상태나 서비스 이용 패턴을 외부에 누설할 수 있다.
• 추정: 직접적인 권한 상승이나 원격 코드 실행은 이 취약점만으로 발생하지 않으며, 주된 위험은 기밀 정보(시스템 활동 로그 등)의 비공개 노출이다.

• 추정: CWE‑200 (Information Exposure) 유형의 파일‑감시 side‑channel 공격과 유사한 패턴이 존재한다.
• 추정: 기존 inotify/fanotify 를 악용한 타임스탬프 기반 정보 수집(CWE‑359 등) 기법과 연계될 가능성이 있다.

• 로그 위치·필드

  • auditd kernel audit 로그(type=FSNOTIFY) – path, event_type(ACCESS, MODIFY), parent_path, uid/gid.
  • dmesg 혹은 커널 메시지 버퍼에 기록되는 fsnotify: child watch on special file 경고.

• SIEM 탐지 규칙 예시

  1. 특수 파일 이벤트 감시

 1source = "audit" AND event_type = "FSNOTIFY"
 2| where path matches "^/dev/(null|zero|random|urandom)$"
 3  and event_type in ("ACCESS","MODIFY")
 4  and parent_path != "" 

1. 부모 디렉터리 워치와 특수 파일 연계

 1source = "kernel" AND message contains "fsnotify"
 2| regex "^.*parent=.*\\/dev\\/[^ ]* child=.*(null|zero).*event=ACCESS|MODIFY.*$"

1. 비정상적인 워치 수 급증 탐지 (오탐 방지를 위한 임계값)

 1source = "audit" AND event_type = "FSNOTIFY"
 2| stats count() by uid, path
 3| where count > 100 and path matches "^/dev/"

• 오탑 튜닝
  • 정상적인 시스템 관리 도구(예: systemd‑udevd, logrotate)가 /dev 하위 특수 파일에 워치를 설정하는 경우가 있다. 해당 UID/GID를 화이트리스트에 추가하거나, 워치 종류(IN_OPEN 등)만 허용하도록 규칙을 세분화한다.

• 즉시(긴급 차단)

  • sysctl fs.inotify.max_user_watches=0 로 비신뢰 사용자에게 inotify 사용을 차단하거나, SELinux/AppArmor 정책에 deny watch 규칙을 추가해 특수 파일( /dev/null*)에 대한 ACCESS·MODIFY 이벤트를 금지한다.
  • 난이도: 낮음 – sysctl 또는 기존 보안 정책 편집만으로 적용 가능.
  • 운영 영향: 해당 사용자는 일반적인 파일 감시 기능을 상실하지만, 시스템 핵심 서비스에는 큰 영향을 주지 않는다.
  • 검증: inotifywait -e access /dev/null 실행 시 “Permission denied” 메시지가 반환되는지 확인.

• 단기(완화)

  • 최신 커널 패치가 제공될 때까지, 백포트된 커밋을 적용하거나 해당 커널 트리(fsnotify: do not generate ACCESS/MODIFY events on child for special files)를 빌드하여 배포한다.
  • 난이도: 중간 – 소스 컴파일 및 재부팅 필요.
  • 운영 영향: 재부팅 시 서비스 일시 중단; 테스트 환경에서 사전 검증 권장.
  • 검증: 패치 적용 후 dmesg에 “fsnotify: special file child events suppressed” 로그가 나타나는지 확인.

• 근본(해결)

  • 배포판이 제공하는 최신 커널 버전(패치를 포함)으로 업그레이드한다.
  • 난이도: 중간‑높음 – 전체 시스템 업데이트와 의존성 검증 필요.
  • 운영 영향: 커널 교체에 따른 재부팅 및 잠재적 드라이버 호환성 이슈가 있을 수 있음.
  • 검증: uname -r 로 버전 확인 후, 동일한 탐지 규칙이 더 이상 트리거되지 않는지 모니터링한다.

• 잔여 리스크

  • 패치 적용 전까지는 위 즉시·단기 조치를 통해 특수 파일에 대한 이벤트를 차단하더라도, 다른 파일‑감시 메커니즘(예: fanotify)에서 유사한 정보 누출이 발생할 가능성이 있다. 따라서 전체 inotify/fanotify 사용을 제한하는 보안 정책을 추가로 적용하고, 정기적인 로그 리뷰를 수행한다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 해당 UID·PID 확인.
  2. auditctl -w /dev/null -p rwxa 로 현재 워치 상태 조회.
  3. 비정상적인 워치 설정 발견 시 즉시 SELinux/AppArmor 정책으로 차단하고, 로그를 보관한다.
  4. 근본 패치를 적용할 때까지 임시 차단 정책 유지 여부 판단.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None