[공격] 분석 — CVE-2025-21875

• 심각도 medium · CVSS 5.5 · EPSS 0.002 · 악용난이도 hard

(1) 트리거 조건: Multipath TCP(MPTCP)의 Path Manager(PM) 제어 경로에서 주소 제거 시 msk socket lock을 적절히 획득하지 않은 상태로 접근하여 발생하는 Race Condition 및 Lockdep splat(데드락/잠금 위반) 상황이 트리거임.

(2) 공격 단계:

• 정찰: 타겟 시스템의 커널 버전 확인 및 MPTCP 활성화 여부 조사.
• 초기접근: 로컬 사용자 권한 획득 (AV:L, PR:L 전제).
• 실행/영향: mptcp_pm_nl_addr_send_ack 함수 등 PM 제어 경로를 자극하는 Netlink 메시지나 소켓 조작을 통해 Race Condition 유도 $\rightarrow$ 커널 패닉(Kernel Panic) 발생.

(3) 공격 표면:

• 프로토콜: MPTCP (Multipath TCP).
• 인터페이스: Netlink interface (mptcp_pm_nl), Socket API.
• 핵심 함수: mptcp_pm_nl_addr_send_ack, msk_owned_by_me.

(4) CVSS 벡터 분석:

• AV:L / PR:L: 로컬 계정 권한이 필수적이며, 네트워크 외부에서 직접 트리거할 수 없음.
• AC:L: 조건 충족 시 공격 복잡도는 낮음.
• UI:N: 사용자 상호작용 불필요.
• 결과적으로 내부 침투 후 가용성을 파괴하는 DoS 공격 경로를 가짐.

악용 가능성: 본 취약점은 MPTCP(Multipath TCP)의 주소 제거 과정에서 msk socket lock 미적용으로 발생하는 Race Condition 기반의 Lockdep 결함입니다. 공격 벡터가 AV:L/PR:L인 만큼, 공격자는 이미 시스템에 낮은 권한의 계정으로 접근하여 커널 인터페이스를 직접 제어할 수 있는 로컬 실행 환경을 확보해야 합니다. 특히 mptcp_pm_nl_addr_send_ack 함수와 같은 Netlink 제어 경로가 주요 공격 표면(Attack Surface)이 되며, 특정 타이밍에 주소 제거 및 소켓 상태 변경을 정밀하게 트리거해야 하므로 공격 난이도는 매우 높습니다(hard). EPSS 수치가 0.002로 극히 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서 무기화된 사례가 드물며, 이론적 심각도보다 실전 악용 가능성이 현저히 낮음을 시사합니다. 결과적으로 이 취약점은 단독으로 원격 코드 실행이나 권한 상승을 일으키기보다는, 커널 패닉(DoS)을 유발하거나 다른 메모리 오염 취약점과 체이닝하여 권한 상승의 징검다리로 활용될 가능성이 큽니다.

(1) 기술적 위험: 커널 수준의 Lock 위반으로 인한 시스템 크래시 및 서비스 중단(DoS). 데이터 유출이나 권한 상승보다는 시스템 가용성 파괴에 집중됨.
(2) 비즈니스 영향: 서버 다운타임 발생으로 인한 서비스 불능 상태 초래. 특히 MPTCP를 사용하는 고가용성 네트워크 인프라의 경우 신뢰도 저하 및 운영 연속성 훼손.

• 체이닝 경로: 추정: [로컬 권한 획득(Initial Access)] $\rightarrow$ [CVE-2025-21875를 통한 커널 패닉] $\rightarrow$ [시스템 재부팅 과정에서의 다른 부트 타임 취약점 공략].
• 유형 수준 분석: Race Condition 및 Locking 이슈는 추정: 메모리 오염(Memory Corruption)이나 Use-After-Free로 이어질 가능성이 있으나, 본 건은 lockdep 경고 기반의 DoS 성격이 강함.

(1) 로그 지표: 커널 링 버퍼(dmesg) 및 /var/log/syslog 내 WARNING: CPU: ... lockdep splat, mptcp_pm_nl_addr_send_ack 관련 스택 트레이스 기록.
(2) 탐지 규칙 예시:

• 로직: dmesg | grep -E "lockdep|mptcp_pm_nl_addr_send_ack"
• SIEM 쿼리 형태: process.name == "kworker" AND message CONTAINS "WARNING" AND message CONTAINS "mptcp"
  (3) 오탐 시나리오: 커널 디버깅 모드에서 발생하는 정상적인 Lockdep 테스트 로그. 실제 운영 환경에서는 매우 드물며, 발생 시 즉시 이상 징후로 간주 가능.

• 즉시(긴급 차단): MPTCP 기능 비활성화. (난이도: 하 / 영향: MPTCP 사용 서비스 불가 / 검증: sysctl net.mptcp.enabled=0)
• 단기(완화): 로컬 일반 사용자의 Netlink 소켓 접근 권한 제한 및 모니터링 강화. (난이도: 중 / 영향: 운영 마찰 적음 / 검증: 권한 설정 확인)
• 근본(해결): 영향받는 커널 버전(5.10~6.13)을 최신 패치 버전으로 업데이트. 다중 소스에서 일관성이 확인된 취약점이므로 벤더 제공 보안 업데이트 적용 필수. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r 버전 확인)

[파이프라인 근거] 본 분석은 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.002 및 AV:L/PR:L 조건을 근거로 실제 외부 악용 가능성은 낮으나 로컬 공격 시 위험한 'monitor' 우선순위로 결정됨.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.002 · exploit=hard · in_scope=None