[단독분석] 분석 — CVE-2026-64530

• 심각도 critical · CVSS 9.8 · EPSS 0.00536 · 악용난이도 moderate

• tc 필터에서 action ct 를 사용하고 결함이 있는 커널(5.x 이상)에서 패킷 조각화가 발생하면, tcf_classify() 가 TC_ACT_CONSUMED 을 반환합니다.
• 이 상태에서 tcf_qevent_handle() 이 skb 를 계속 사용하게 되면서 use‑after‑free 가 발생하고, 공격자는 커널 메모리를 재사용해 임의 코드 실행 또는 시스템 크래시를 유발할 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는(AV:N) 환경에서, 복잡한 사전 준비 없이도(AC:L) 공격을 수행할 수 있으며, 별도의 권한이나 사용자 개입이 필요하지 않습니다(PR:N, UI:N). 실제 EPSS 점수 0.00536은 현재까지 악용 사례가 드물지만, 완전히 배제되지 않는 위험성을 의미합니다. 공격자는 조각화된 IP 패킷을 전송해 커널의 defragmentation 엔진이 skb를 보유하도록 만든 뒤, TC 클래시피케이션 단계에서 TC_ACT_CONSUMED 값을 반환하도록 유도해야 합니다. 이 조건이 충족되면 RED qdisc 구현 내에서 이미 해제된 skb에 다시 접근하게 되어 사용‑후‑해제(use‑after‑free) 오류가 발생합니다. 따라서 노출되는 공격 표면은 Linux 커널의 네트워크 스케줄링 서브시스템, 특히 net/sched 클래스와 RED qdisc이 활성화된 인터페이스입니다. 이러한 환경을 갖춘 시스템에 대해 원격에서 임의의 패킷을 전송할 수 있는 경우, 난이도는 낮고 악용 가능성은 moderate 수준으로 평가됩니다.

• 기술적 위험
  • Use‑After‑Free 로 인한 커널 패닉 → 서비스 중단(DoS)
  • 성공적인 메모리 재활용 시 권한 상승 및 임의 코드 실행 가능 → 전체 시스템 장악
• 비즈니스 영향
  • 가용성 손실: 핵심 서버가 다운되면 서비스 연속성이 훼손됩니다.
  • 규제·컴플라이언스 위험: 커널 수준 침해는 데이터 무결성과 기밀성을 위협할 수 있어 PCI‑DSS, GDPR 등 요구사항 위반 가능성이 있습니다.
• 영향 제품·노출 규모
  • 영향 제품: Linux kernel (구체적인 배포판·버전은 미상) → 모든 Linux 기반 서버/네트워크 장비가 해당 커널 버전을 사용한다면 노출됩니다.
  • 현재까지 공개된 악용 사례는 없으며, EPSS 0.00536(중간 수준)의 실측값이 존재합니다([실측 악용예측]).

• 동일한 커널 네트워크 스케줄러 영역에서 발생하는 과거 UAF 및 메모리 손상 버그와 연계될 수 있습니다.
• TC_ACT_CONSUMED 처리를 누락한 다른 qdisc(예: fq_codel)에서도 유사한 패턴이 발견된 바 있으나, 현재 확인된 CVE 번호는 없습니다.

• 커널 로그(dmesg)에 “use‑after‑free” 또는 red_enqueue() 와 관련된 Oops 메시지가 출력되는 경우.
• Netfilter/TC 모듈에서 tc 명령어 실행 시 오류 코드 반환(예: RTNETLINK answers: Invalid argument).
• IDS/EDR 에서 skb 포인터 재사용 패턴을 탐지하는 서명, 예시: kernel:net:sched:*red_enqueue*use-after-free.

• 즉시 조치
  • 해당 커널 버전에 포함된 최신 보안 업데이트(패치) 적용 → CVE-2026-64530 수정 포함.
  • RED qdisc 사용을 중단하고, 대신 fq_codel 등 다른 qdisc 로 전환하거나 tc filter 에서 action ct 와 defrag 옵션을 비활성화.
• 근본 해결
  • 커널 소스에서 tcf_qevent_handle() 함수가 TC_ACT_CONSUMED 를 감지하면 NULL 반환하도록 패치를 적용(업스트림 패치 적용).
  • 배포판 공급자 제공 보안 알림을 지속적으로 모니터링하고, 정기적인 커널 이미지 무결성 검증 및 재부팅 정책을 강화.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00536 · exploit=moderate · in_scope=None