[방어] 분석 — CVE-2024-57924

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

(1) 트리거 조건: exportfs_encode_fh() 또는 exportfs_encode_fid()를 사용하는 코드 경로에서 파일 시스템의 ->encode_fh() 메서드가 실패할 때, 이를 처리하지 못하고 WARN_ON() 단언문(assertion)을 트리거하여 커널 패닉 또는 시스템 중단을 유발함. 특히 OverlayFS가 마운트된 환경에서 inotify와 drop_caches를 조합하여 트리거 가능성이 높아짐.
(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 OverlayFS 사용 여부 확인.
• 초기 접근: 로컬 사용자 권한 획득 (Authenticated Local User).
• 실행: 특정 파일 핸들 인코딩 실패를 유도하는 조작된 요청 전송 $\rightarrow$ WARN_ON() 트리거 $\rightarrow$ 시스템 크래시(DoS).
  (3) 공격 표면: name_to_handle_at(2) 시스템 콜 및 NFS 서버(nfsd) 관련 파일 핸들 인코딩 경로.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 셸 접근 권한 필요.
• AC:L (Low): 트리거 조건 충족 시 공격 복잡도 낮음.
• PR:L (Low): 일반 사용자 권한으로 실행 가능.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터가 시사하듯, 공격자가 대상 시스템에 이미 낮은 권한의 계정으로 접근하여 로컬 쉘을 확보한 상태여야 하므로 초기 침투 단계에서의 공격 난이도는 매우 높습니다. 공격 표면은 Linux 커널의 파일 핸들 인코딩 과정이며, 구체적으로는 name_to_handle_at(2) 시스템 콜이나 nfsd와 같이 exportfs_encode_fh()를 호출하는 엔드포인트가 트리거 지점이 됩니다. 특정 파일 시스템의 ->encode_fh() 메서드가 실패할 때 발생하는 커널 내 WARN_ON() 어설션(Assertion)을 유도하여 시스템 불안정성을 초래하는 것이 핵심입니다. EPSS 수치가 0.00242로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점을 이용한 실제 야생(In-the-wild) 공격 사례가 희박하며, 익스플로잇의 무기화 수준이 낮음을 의미합니다. 따라서 이론적인 커널 패닉 가능성에도 불구하고, 로컬 권한 필요 조건과 낮은 실측 위협 지표를 고려할 때 즉각적인 대규모 악용 가능성은 제한적입니다. 결과적으로 본 취약점은 외부망 노출보다는 내부 침투 후 권한 상승이나 서비스 거부(DoS)를 노리는 2차 공격 단계에서 활용될 가능성이 있는 Hard 등급의 위협으로 판단됩니다.

(1) 기술적 위험: 가용성 상실(Denial of Service). 커널 단언문 실패로 인한 시스템 크래시 및 재부팅이 발생하여 서비스가 중단됨.
(2) 비즈니스 영향: 서버 다운타임으로 인한 서비스 불능 상태 발생. 특히 NFS export나 OverlayFS를 사용하는 컨테이너 환경, 스토리지 서버의 가용성에 직접적인 영향을 미침.

• 추정: 단독으로는 DoS에 그치지만, 시스템 재부팅 과정에서 발생하는 일시적 보안 설정 공백이나 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 공격자가 시스템 제어권을 획득하는 경로로 이용될 수 있음.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog, journalctl) 내에 WARN_ON 또는 kernel panic과 함께 exportfs_encode_fh 관련 스택 트레이스가 기록됨.
(2) 탐지 규칙 예시:

• 로직: 커널 로그에서 특정 함수명과 경고 패턴을 동시에 탐지.
• SIEM 쿼리 (의사코드):
  SELECT timestamp, hostname, message FROM kernel_logs WHERE message MATCHES "WARN_ON" AND message MATCHES "exportfs_encode_fh"
• 정규식: /(WARN_ON|panic).*exportfs_encode_(fh|fid)/
  (3) 오탐 시나리오 및 튜닝: 파일 시스템의 물리적 오류나 하드웨어 결함으로 인해 encode_fh()가 실패하여 로그가 남을 수 있음. 단기간에 동일 사용자가 반복적으로 해당 경고를 발생시키는지 임계값(Threshold)을 설정하여 튜닝.

• 즉시(긴급 차단): name_to_handle_at 시스템 콜 사용 제한. (추정: Seccomp 프로필 또는 LSM 설정을 통해 불필요한 일반 사용자의 해당 syscall 호출을 차단).
  • 난이도: 중간 / 운영 영향: 일부 애플리케이션 기능 제약 가능성 / 검증: strace를 통한 시스템 콜 차단 확인 / 우선순위: 높음.
• 단기(완화): OverlayFS 마운트 옵션 중 index=on,nfs_export=on 설정이 된 볼륨의 접근 권한을 최소화하고, 불필요한 일반 사용자의 로컬 셸 접근 제한.
  • 난이도: 낮음 / 운영 영향: 낮음 / 검증: 마운트 옵션 확인 및 권한 체크 / 우선순위: 중간.
• 근본(해결): 영향을 받는 커널 버전을 패치 버전으로 업그레이드. (Linux kernel 6.1.151, 6.6.74, 6.12.10 이상).
  • 난이도: 높음(재부팅 필요) / 운영 영향: 서비스 일시 중단 / 검증: uname -r로 버전 확인 / 우선순위: 최우선.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값 0.00242(백분위 0.15479)는 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 의미하며, 이에 따라 CVSS 5.5 및 non-KEV 상태를 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None