[공격] 분석 — CVE-2026-23455

• 심각도 critical · CVSS 9.1 · EPSS 0.01338 · 악용난이도 moderate

• 공격 표면 (Attack Surface):

  • 프로토콜: H.323 (VoIP/Video Conferencing)
  • 노출 지점: Linux Kernel Netfilter의 nf_conntrack_h323 모듈. 외부에서 유입되는 H.323 패킷을 처리하는 커널 공간(Kernel Space).
  • 취약 함수: DecodeQ931() 내 UserUserIE 코드 경로.

• 트리거 원리 (Integer Underflow $\rightarrow$ OOB Read):

  1. 공격자가 H.323 Q.931 패킷을 구성하여 전송.
  2. DecodeQ931() 함수가 패킷에서 16-bit 길이(len) 값을 읽음.
  3. 프로토콜 식별자 바이트를 제외하기 위해 len - 1 연산을 수행.
  4. 결함: 입력된 len이 0일 경우, 언더플로우(Underflow)가 발생하여 len은 -1(unsigned 기준 매우 큰 값)이 됨.
  5. 이 거대한 값이 DecodeH323_UserInformation()으로 전달되어 커널 메모리 영역을 경계 없이 읽는 Out-of-Bounds (OOB) Read 유발.

• 공격 체인 및 전제 조건:

  1. 정찰: 타겟 시스템이 H.323 트래픽을 허용하며 nf_conntrack_h323 모듈이 로드되어 있는지 확인. (AV:N / AC:L)
  2. 초기 접근: 특수하게 조작된(Crafted) H.323 패킷 전송. 인증이나 사용자 상호작용 불필요 (PR:N / UI:N).
  3. 실행/영향: 커널 메모리 읽기 발생 $\rightarrow$ 커널 패닉(DoS) 유발 또는 메모리 내 민감 정보 유출 시도.

악용 가능성: 본 취약점은 네트워크 경계에서 netfilter의 nf_conntrack_h323 모듈이 H.323 프로토콜 패킷을 처리하는 과정에서 발생하는 Out-of-bounds Read 결함입니다. 공격 벡터가 AV:N/AC:L/PR:N/UI:N인 만큼, 인증되지 않은 외부 공격자가 특수하게 조작된 Q.931 패킷을 전송하는 것만으로 트리거할 수 있어 진입 장벽이 매우 낮습니다. 구체적인 공격 표면은 H.323 트래픽을 추적(conntrack)하도록 설정된 Linux 커널의 네트워크 스택이며, 특히 DecodeQ931() 함수 내 UserUserIE 경로에서 0으로 조작된 길이 필드가 Underflow를 일으켜 거대한 메모리 영역을 읽게 만드는 지점이 핵심입니다. EPSS 수치가 0.01338로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격 도구에 편입되지는 않았음을 시사하지만, 커널 레벨의 OOB Read는 시스템 크래시(DoS)뿐만 아니라 커널 메모리 누수를 통한 ASLR 우회 등 후속 공격의 징검다리로 악용될 가능성이 큽니다. 따라서 이론적 심각도보다 실제 환경에서 H.323 모듈 활성화 여부에 따른 노출 면적이 실질적인 위협 결정 요인이 됩니다.

• 가용성 상실 (Availability): 잘못된 메모리 참조로 인한 Kernel Panic 및 시스템 즉시 크래시 (CVSS A:H).
• 기밀성 침해 (Confidentiality): 커널 메모리의 임의 영역을 읽음으로써 다른 프로세스의 데이터나 커널 포인터 등 민감 정보 유출 가능성 (CVSS C:H).

• 메모리 누수 $\rightarrow$ 보호 기법 우회:
  • 추정: OOB Read를 통해 커널 베이스 주소(Kernel Base Address)나 스택 카나리(Stack Canary) 값을 획득할 경우, KASLR(Kernel Address Space Layout Randomization)을 무력화하는 정보 유출 단계로 활용 가능.
• 정보 노출 $\rightarrow$ 원격 코드 실행 (RCE):
  • 추정: 본 취약점 자체는 Read-only 성격이나, 여기서 얻은 메모리 레이아웃 정보를 다른 Memory-Corruption(예: Buffer Overflow, Use-After-Free) 유형의 취약점과 체이닝하면 정밀한 페이로드 주입을 통한 RCE로 발전 가능.
• DoS $\rightarrow$ 서비스 중단:
  • 단일 패킷으로 커널 패닉을 유발할 수 있어, 단순 가용성 공격자로서는 매우 효율적인 경로임.

• 네트워크 레벨: H.323 Q.931 패킷 분석 중 UserUserIE 필드의 길이 값이 0으로 설정된 비정상 패킷 탐지.
• 시스템 레벨: 커널 로그(dmesg)에서 nf_conntrack_h323 관련 세그멘테이션 폴트(Segmentation Fault) 또는 커널 패닉 덤프 확인.

• 즉시 조치: H.323 연결 추적 기능이 불필요한 경우 해당 모듈 언로드 및 로드 차단: rmmod nf_conntrack_h323 또는 /etc/modprobe.d/ 설정을 통한 blacklist 처리.
• 근본 해결: 영향 범위에 명시된 각 커널 버전별 최신 보안 패치 적용 (특히 DecodeQ931() 내 len 값의 양수 여부를 검증하는 로직이 추가된 버전으로 업데이트).

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 0.01338(Moderate) 수치를 반영하였습니다. CVSS 9.1의 높은 이론적 심각도에도 불구하고 실제 악용 예측치(EPSS)가 낮고 KEV에 미등재된 점을 고려하여 우선순위를 scheduled로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.01338 · exploit=moderate · in_scope=None