[방어] 분석 — CVE-2025-21887

• 심각도 high · CVSS 7.8 · EPSS 0.00185 · 악용난이도 hard

(1) 트리거 조건: OverlayFS 파일 시스템에서 ovl_link_up 함수 실행 중 dput(upper)가 ovl_dentry_update_reval()보다 먼저 호출되어, 이후 ovl_dentry_remote()에서 이미 해제된 메모리(upper->d_flags)에 접근할 때 발생합니다.
(2) 공격 단계:

• 정찰: 시스템의 커널 버전 및 OverlayFS 사용 여부 확인.
• 초기접근: 로컬 쉘 권한 확보 (CVSS PR:L).
• 실행/권한 획득: ovl_rename 등 파일 시스템 조작 함수를 유도하여 Memory Corruption(UAF)을 트리거하고, 커널 메모리 레이아웃을 조작하여 권한 상승 시도.
• 영향: 커널 모드에서의 임의 코드 실행 또는 권한 상승.
  (3) 공격 표면: OverlayFS가 마운트된 환경에서 파일 생성, 이름 변경(rename), 링크 작업 등 VFS(Virtual File System) 인터페이스를 통한 시스템 콜.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 개입 불필요). 즉, 이미 시스템에 계정을 가진 내부 사용자나 낮은 권한으로 진입한 공격자가 타겟팅합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에서 알 수 있듯, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근하여 로컬 셸을 확보한 상태여야 하며, 이는 외부망에서의 직접적인 침투가 불가능함을 의미합니다. 공격 표면은 Linux Kernel의 overlayfs 모듈 내 ovl_dentry_update_reval 함수이며, 구체적으로는 OverlayFS 파일 시스템 상에서 dentry 객체의 참조 횟수 관리 오류로 인한 Use-After-Free(UAF) 지점이 트리거 조건이 됩니다. 다만, EPSS 수치가 0.00185로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점을 이용한 실제 야생(In-the-wild) 공격 사례가 거의 없음을 시사합니다. 그럼에도 불구하고 커널 메모리 영역의 UAF는 정교한 Heap Spraying 기법과 결합될 경우 권한 상승(Privilege Escalation)으로 이어질 수 있어 이론적 위험성은 존재합니다. 결과적으로 로컬 접근 권한이 필요한 제약 사항과 복잡한 커널 레이스 컨디션 유도 과정으로 인해 실제 악용 가능성은 낮으나, 다중 사용자 환경이나 컨테이너 런타임 환경에서는 잠재적인 위협 요소가 됩니다.

(1) 기술적 위험: 커널 메모리 오염으로 인한 시스템 크래시(DoS) 또는 로컬 권한 상승(LPE)을 통한 Root 권한 획득이 가능합니다.
(2) 비즈니스 영향: 컨테이너 환경(Docker 등 OverlayFS 다수 사용)에서 컨테이너 탈출(Container Escape)로 이어질 수 있으며, 이는 호스트 시스템 전체의 장악 및 데이터 유출, 서비스 가용성 파괴로 연결됩니다.

• 추정: Memory-Corruption 유형의 특성상, KASLR(Kernel Address Space Layout Randomization)을 우회하기 위한 별도의 커널 정보 유출(Information Leak) 취약점과 체이닝될 가능성이 높습니다.
• 패턴: [정보 유출] $\rightarrow$ [UAF 트리거 및 메모리 레이아웃 조작] $\rightarrow$ [권한 상승(LPE)] 순으로 이어지는 전형적인 커널 익스플로잇 체인을 따를 것으로 추정됩니다.

(1) 로그 지표:

• dmesg 또는 /var/log/kern.log 내 KASAN 리포트 및 Kernel Panic 로그 확인.
• 핵심 식별자: slab-use-after-free, ovl_dentry_remote, ovl_dentry_update_reval.
  (2) 탐지 규칙 예시:
• SIEM/Log Analysis (KASAN 패턴):
  SELECT * FROM kernel_logs WHERE message LIKE '%slab-use-after-free%' AND message LIKE '%ovl_dentry_remote%'
• Runtime Monitoring (의사코드):
  IF process.syscall == 'rename' AND filesystem == 'overlayfs' AND user_privilege == 'low' THEN alert("Potential OverlayFS UAF Trigger Attempt")
  (3) 오탐 튜닝: 단순한 파일 시스템 오류로 인한 커널 크래시와 구분해야 합니다. 특정 사용자 계정이 반복적으로 rename이나 link 작업을 수행하며 커널 패닉을 유도하는 패턴이 관측될 때 가중치를 높여 탐지합니다.

• 즉시(긴급 차단):
  • 조치: 비특권 사용자의 OverlayFS 마운트 금지 설정 (sysctl -w kernel.unprivileged_userns_clone=0 또는 관련 모듈 제한).
  • 난이도: 낮음 / 운영 영향: 컨테이너 런타임 일부 기능 제약 가능성 / 검증: 비특권 사용자로 mount -t overlay 시도 시 거부 확인.
• 단기(완화):
  • 조치: OverlayFS를 사용하는 애플리케이션의 권한을 최소화하고, 불필요한 쓰기 권한 제거.
  • 난이도: 중간 / 운영 영향: 낮음 / 검증: 권한 매트릭스 감사.
• 근본(해결):
  • 조치: 영향받는 커널 버전(5.10, 5.15, 6.1, 6.3~6.12 등)을 최신 패치 버전으로 업데이트. (예: ovl_link_up 내 dput() 위치 수정이 반영된 버전).
  • 난이도: 중간 / 운영 영향: 재부팅 필요(가용성 일시 중단) / 검증: uname -r 및 패치 노트 확인.

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 [교차검증] 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00185(백분위 0.08392)로 매우 낮으며, 이는 현재 실제 야생(In-the-wild)에서 악용되는 사례가 드물고 익스플로잇 난이도가 hard임을 뜻합니다. 따라서 CVSS 점수는 High(7.8)이나, KEV 미등재 및 낮은 EPSS 수치를 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00185 · exploit=hard · in_scope=None