[분석가] 분석 — CVE-2025-68798
A race condition in the Linux kernel's AMD PMU implementation can trigger a General Protection Fault (GPF), requiring restricted access to unprivileged perf events as an immediate mitigation.
📋 요약
- 심각도 미상 · CVSS 미상 · EPSS 0.00173 · 악용난이도 hard
🔍 공격 기법
- 원리:
amd_pmu_enable_all()함수 내에서 이벤트 활성화 전 NULL 체크가 누락된 점을 이용합니다. - 경로:
NMI->throttle->x86_pmu_stop()과의 미세한 Race Condition 발생 시cpuc->events[idx]가 NULL이 될 수 있으며, 이를 참조하여 이벤트를 활성화하려 할 때 General Protection Fault (GPF)가 유발됩니다. - 단계: 특정 AMD 하드웨어 환경 $\rightarrow$ perf 이벤트 조작 $\rightarrow$ Race Condition 유도 $\rightarrow$ NULL 포인터 역참조 $\rightarrow$ 커널 패닉(GPF).
악용 가능성: 본 취약점은 AMD CPU 아키텍처의 PMU(Performance Monitoring Unit) 제어 과정에서 발생하는 Race Condition으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 관점에서 Local 권한(PR:L)이 필요하며, 특정 타이밍에 NMI(Non-Maskable Interrupt)와 amd_pmu_enable_all() 함수 간의 충돌을 유도해야 하므로 공격 복잡성(AC:H)이 매우 높습니다. 공격 표면은 Linux 커널의 perf 서브시스템 및 x86 PMU 관련 시스템 호출로 제한되며, 특히 AMD 프로세서를 사용하는 환경에서만 트리거되는 하드웨어 종속적 특성을 가집니다. EPSS 수치가 0.00173으로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실질적 위협 수준이 낮음을 뒷받침합니다. 결과적으로 공격자가 정밀하게 설계된 레이스 컨디션을 유도하여 General Protection Fault(GPF)를 일으켜 시스템 가용성을 저해하는 DoS 상태로 만들 가능성이 존재하지만, 실행 조건의 까다로움으로 인해 악용 가능성은 제한적입니다.
💥 영향 분석
- 영향 범위: AMD CPU를 사용하는 Linux 시스템으로 한정됩니다. 구체적인 제품 버전은 명시되지 않았으나, Syzkaller 리포트 기준
6.12.0-rc1-syzk에서 확인되었습니다. - 기술적 위험: 공격 성공 시 커널 레벨의 GPF가 발생하여 시스템이 즉시 중단되는 Denial of Service (DoS) 상태에 빠집니다. 제공된 덤프(
null-ptr-deref)를 통해 권한 상승보다는 가용성 침해 가능성이 높음을 알 수 있습니다. - 비즈니스 리스크: 서버 및 인프라의 갑작스러운 다운타임으로 인한 서비스 가용성 상실이 주된 리스크입니다. 다만, EPSS 0.00173(백분위 0.06994)이라는 실측 수치는 실제 야생에서 악용될 확률이 매우 낮음을 시사합니다.
🔗 관련 취약점·체이닝
- 패턴: 전형적인 Race Condition 및 NULL Pointer Dereference 패턴입니다.
- 체이닝: 단독으로는 시스템 중단(DoS)에 그치나, 추정: 다른 커널 메모리 오염 취약점과 체이닝될 경우 예외 처리 과정에서의 비정상적 상태를 이용한 추가 공격 가능성을 배제할 수 없습니다.
🔎 탐지
- 커널 로그:
dmesg또는/var/log/syslog에서general protection fault,null-ptr-deref,perf_event_nmi_handler took too long to run과 같은 키워드 및 Oops 메시지를 모니터링합니다. - 패턴 예시:
RIP: 0010:x86_pmu_enable_event또는amd_pmu_enable_all함수 호출 시점의 커널 패닉 로그를 식별자로 사용합니다.
🛡️ 완화 방안
- 즉시 조치:
perf_event_paranoid설정을 통해 비특권 사용자의 perf 이벤트 접근을 제한하여 공격 경로를 차단합니다. (예:sysctl -w kernel.perf_event_paranoid=3) - 근본 해결:
amd_pmu_enable_all()내에 NULL 체크 로직이 추가된 최신 Linux 커널 패치를 적용합니다.
[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과와 실측 EPSS(0.00173) 수치를 기반으로 작성되었습니다. KEV 미등재, 낮은 EPSS 값, 그리고 악용 난이도가 'hard'라는 점을 근거로 우선순위를 monitor로 결정하였습니다.
⚖️ 위험도 / 우선순위
- 조치: monitor (모니터링)
- 근거: CVSS=미상 · non-KEV · EPSS=0.00173 · exploit=hard · in_scope=None