[단독분석] 분석 — CVE-2026-23231

• 심각도 high · CVSS 7.8 · EPSS 0.00788 · 악용난이도 hard

본 취약점은 nf_tables_addchain() 함수에서 체인을 등록하는 과정 중 nf_tables_register_hook()이 실패했을 때 발생하는 Memory-Corruption(Use-After-Free)입니다.

1. 경로: nft_chain_add()를 통해 체인이 table->chains에 추가된 후, 훅 등록 단계에서 에러가 발생하면 nft_chain_del()과 nf_tables_chain_destroy()가 호출됩니다.
2. 원리: 두 함수 사이에 synchronize_rcu()가 누락되어 있어, RCU grace period가 지나기 전 메모리가 해제됩니다.
3. 촉발: 이 시점에 제어 평면의 nf_tables_dump_chains()나 패킷 경로의 nft_do_chain()이 이미 참조 중인 체인 메모리에 접근하면 Use-After-Free 상태가 됩니다.

악용 가능성: 본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 시스템에 이미 낮은 권한의 계정(PR:L)을 확보하고 로컬 환경에서 접근 가능한 상태여야 트리거됩니다. 공격 표면은 Linux 커널의 netfilter 서브시스템 내 nf_tables 인터페이스로, 특히 nf_tables_addchain() 함수를 통해 체인을 생성하는 과정에서 발생합니다. 구체적으로는 체인 등록 중 오류가 발생하여 nft_chain_del()과 nf_tables_chain_destroy()가 RCU grace period 없이 연속 호출될 때 Use-After-Free(UAF) 조건이 형성됩니다. 이 상태에서 nf_tables_dump_chains()를 통한 제어 평면 접근이나 IPv4/IPv6 패킷 경로의 후크 처리 과정이 겹치면 메모리 오염이 발생할 수 있습니다. 다만, EPSS 수치가 0.00788로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사합니다. 따라서 이론적인 심각도와 별개로, 로컬 권한 획득이라는 전제 조건과 정교한 레이스 컨디션 유도가 필요하므로 공격 난이도는 'hard'로 판단됩니다.

• 기술적 위험:
  • 권한 상승 및 시스템 장악: CVSS 벡터(AV:L/PR:L)와 Memory-Corruption 유형을 고려할 때, 로컬 권한을 가진 공격자가 커널 메모리 오염을 통해 권한 상승(Privilege Escalation)을 시도하거나 임의 코드를 실행할 가능성이 있습니다.
  • 서비스 중단: 유효하지 않은 메모리 참조로 인한 Kernel Panic 및 시스템 크래시가 발생하여 가용성이 상실될 수 있습니다.
• 비즈니스 리스크:
  • 광범위한 노출: 영향 제품 범위가 Linux kernel 3.16부터 6.19까지 매우 넓어, 다수의 서버 및 임베디드 환경이 잠재적 위험에 노출되어 있습니다. 이는 공급망 관점의 광범위한 리스크를 의미합니다.
  • 컴플라이언스: 커널 수준의 취약점으로 인해 시스템 무결성 보장이 어려워지며, 보안 규정 준수 및 신뢰도에 영향을 줄 수 있습니다.

• 유형 연계: RCU(Read-Copy-Update) 메커니즘의 동기화 미비로 인한 Use-After-Free 패턴입니다.
• 체이닝 가능성: 단독으로는 로컬 권한이 필요하므로, 원격 코드 실행(RCE) 취약점과 체이닝될 경우 외부 공격자가 내부 침투 후 권한을 상승시키는 경로로 악용될 수 있습니다.

• 커널 로그 분석: dmesg 또는 /var/log/syslog에서 nf_tables 관련 Kernel Oops, Segmentation Fault, 혹은 RCU 관련 경고 메시지를 모니터링합니다.
• 패턴 예시: nftables 설정 변경 시 발생하는 비정상적인 커널 패닉 패턴이나 nf_tables_addchain 호출 직후의 메모리 오류를 추적합니다.

• 근본 해결: 영향 범위에 포함된 Linux kernel 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 synchronize_rcu()가 추가된 수정본을 적용하십시오.
• 즉시 조치:
  • 불필요한 nf_tables 모듈 로드를 제한하거나, 신뢰할 수 없는 사용자의 커널 모듈 조작 권한(CAP_NET_ADMIN 등)을 최소화하여 공격 표면을 줄입니다.
• 분석 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00788(백분위 0.52538)의 낮은 실측 악용 예측치와 AV:L/PR:L 벡터를 근거로 'hard' 등급으로 판정하였습니다. 이에 따라 KEV 미등재 상태임을 고려하여 이번 주 내 대응하는 scheduled 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00788 · exploit=hard · in_scope=None