[단독분석] 분석 — CVE-2024-53170

• 심각도 high · CVSS 7.8 · EPSS 0.0024 · 악용난이도 hard

• 원리: del_gendisk 과정에서 QUEUE_FLAG_INIT_DONE 플래그가 제거됨에 따라, 이후 호출되는 blk_mq_destroy_queue()가 tags->rqs[] 내의 flush request 매핑을 적절히 해제하지 못하는 로직 결함입니다.
• 경로: Local 권한을 가진 사용자가 SCSI 디바이스의 프로브 및 제거 과정을 유도하여 메모리 관리 오류를 촉발합니다.
• 단계: del_gendisk 실행 $\rightarrow$ blk_mq_clear_flush_rq_mapping() 호출 누락 $\rightarrow$ 해제된 메모리에 접근하는 Use-After-Free(UAF) 발생 $\rightarrow$ 추정: 커널 패닉 또는 임의 코드 실행 시도.

악용 가능성: 본 취약점은 Linux kernel의 block layer 내 blk_mq_destroy_queue() 과정에서 발생하는 Use-After-Free(UAF)로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 시스템에 이미 낮은 권한의 계정으로 접근하여 커널 인터페이스를 조작할 수 있는 로컬 환경을 전제로 합니다. 공격 표면은 SCSI 장치와 같은 블록 디바이스의 프로브(Probe) 및 제거 과정에서 발생하는 tags->rqs[] 매핑 처리 로직이며, 특정 조건에서 QUEUE_FLAG_INIT_DONE 플래그가 해제되어 메모리 해제 후 참조가 발생하는 지점이 트리거 포인트입니다. EPSS 수치가 0.0024로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 해당 취약점이 이론적인 심각도와 달리 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 따라서 권한 상승을 위한 정교한 커널 메모리 레이아웃 조작이 필요하므로 실질적인 악용 가능성은 낮으나, 로컬 공격자에 의한 시스템 불안정성 유발 및 잠재적 권한 상승 위험은 존재합니다.

• 영향 제품 및 규모: Linux Kernel 5.19 ~ 6.11.11 및 6.12 ~ 6.12.2 버전이 대상이며, 특히 SCSI 디바이스를 사용하는 시스템에서 노출 가능성이 높습니다.
• 기술적 위험: blk_mq_find_and_get_req 함수 내에서 메모리 오염(Memory-Corruption)이 발생합니다. 이는 커널 공간에서의 비정상적인 읽기/쓰기로 이어져 시스템 가용성을 즉각적으로 파괴(DoS)하거나, 정교한 페이로드를 통해 권한 상승(LPE)으로 이어질 수 있는 고위험군 취약점입니다.
• 비즈니스 리스크:
  • 가용성: 커널 패닉으로 인한 서버 다운타임 발생 시 서비스 중단 위험이 있습니다.
  • 신뢰성: 인프라 레벨의 취약점으로, 시스템 무결성이 훼손될 경우 데이터 신뢰도에 영향을 줄 수 있습니다.

• 유형: Memory-Corruption (CWE-416: Use-After-Free).
• 체이닝 가능성: 단독으로는 Local 권한이 필요하므로, 원격 코드 실행(RCE) 취약점과 체이닝될 경우 외부 공격자가 시스템 전체 권한을 획득하는 경로로 활용될 수 있습니다.

• KASAN 로그 분석: 커널 디버깅 환경에서 BUG: KASAN: slab-use-after-free in blk_mq_find_and_get_req 메시지와 함께 block/blk-mq-tag.c 관련 콜 스택이 발생하는지 확인합니다.
• 패턴: del_gendisk 이후 blk_mq_destroy_queue가 호출되는 시점의 메모리 접근 패턴을 모니터링합니다.

• 근본 해결: 해당 취약점이 수정된 최신 커널 버전으로 업데이트하여 blk_mq_clear_flush_rq_mapping()이 정상적으로 호출되도록 조치하십시오.
• 즉시 대응 및 우선순위:
  • 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, CVSS 7.8의 High 등급입니다.
  • 단, EPSS 실측값이 0.0024(백분위 0.15254)로 매우 낮고 KEV에 등재되지 않았으며 악용 난이도가 'hard'인 점을 근거로, 즉시 대응보다는 이번 주 내(scheduled) 패치를 권고합니다.
  • 추정: 일반적인 사용자 환경보다 SCSI 디바이스의 빈번한 탈착이 발생하는 특수 환경에서 우선순위를 높여야 합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0024 · exploit=hard · in_scope=None