[분석가] 분석 — CVE-2026-31682

• 심각도 critical · CVSS 9.1 · EPSS 0.00485 · 악용난이도 moderate

• 원리: br_nd_send() 함수가 ICMPv6 Neighbor Discovery(ND) 옵션을 파싱할 때, 데이터가 linear buffer 내에 있다고 가정하고 접근하는 결함입니다.
• 경로: 호출자가 ICMPv6 헤더와 대상 주소까지만 linear 상태를 보장하므로, 이후의 옵션 영역이 non-linear 상태일 경우 linear 버퍼 범위를 벗어난 메모리 영역에 접근하게 됩니다.
• 단계:
  1. 공격자가 조작된 IPv6 ND 패킷(특히 Option Length 필드 조작)을 전송합니다.
  2. Linux Bridge가 해당 패킷의 옵션을 파싱하는 과정에서 Out-of-bounds read가 발생합니다.
  3. 추정: 이 과정에서 커널 메모리 누수 또는 시스템 크래시(DoS)가 유발되며, 정교한 힙 레이아웃 제어가 동반될 경우 더 높은 권한의 실행으로 이어질 가능성이 존재합니다.

악용 가능성: 본 취약점은 Linux kernel의 bridge 모듈 내 br_nd_send() 함수에서 발생하는 메모리 접근 오류로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급으로 판단됩니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 네트워크를 통해 권한 없이 원격에서 트리거할 수 있으며, 특히 ICMPv6 Neighbour Discovery(ND) 옵션 파싱 과정에서 비선형 skb 데이터를 적절히 처리하지 않아 선형 버퍼 범위를 벗어난 메모리에 접근하는 것이 핵심 원리입니다. 공격 표면은 IPv6 네트워크 환경에서 브리지 설정이 활성화된 인터페이스의 ND 프로토콜 엔드포인트이며, 특수하게 조작된 ICMPv6 패킷을 전송함으로써 트리거됩니다. 다만, EPSS 수치가 0.00485로 매우 낮고 CISA KEV에 등재되지 않은 점은 이론적 취약점에도 불구하고 실제 야생(In-the-wild)에서의 악용 사례가 거의 관측되지 않았음을 시사합니다. 결과적으로 네트워크 노출도는 높으나, 정교한 메모리 레이아웃 제어가 필요하다는 점에서 실질적인 익스플로잇 성공 가능성은 낮을 것으로 분석됩니다.

• 영향 제품 및 규모: Linux Kernel 4.15부터 6.19.12까지 광범위한 버전이 영향을 받습니다. 특히 브리징 기능을 사용하거나 IPv6 ND가 활성화된 호스트, 네트워크 가상화 환경의 하이퍼바이저 등이 주요 노출 대상입니다.
• 기술적 위험:
  • 시스템 가용성 저하: 잘못된 메모리 참조로 인한 커널 패닉 및 시스템 중단(DoS).
  • 정보 유출: Linear 버퍼 너머의 커널 메모리 내용이 외부로 유출될 가능성이 있습니다.
  • 권한 상승 추정: L2 계층에서 커널 메모리에 직접 영향을 주므로, KASLR 우회 등과 체이닝될 경우 원격 코드 실행(RCE)으로 발전할 위험이 있습니다.
• 비즈니스 리스크:
  • 인프라 핵심 계층인 커널 취약점으로 인해 다수의 가상 머신이나 컨테이너가 구동되는 호스트 서버의 전체 서비스 중단 및 데이터 침해 사고로 이어질 수 있습니다.

• 유형: Out-of-bounds Read / Memory Corruption.
• 체이닝 가능성: 단독으로는 DoS나 정보 유출에 그칠 가능성이 높으나, 커널 힙 스프레이(Heap Spraying) 기법과 결합하여 메모리 레이아웃을 제어할 경우 RCE로 확장될 수 있는 패턴입니다.

• 네트워크 레벨: 비정상적으로 긴 Option Length를 가진 ICMPv6 Neighbor Discovery 패킷 유입 감시.
• 호스트 레벨: 커널 로그(dmesg) 내의 br_nd_send 관련 세그멘테이션 폴트 또는 커널 패닉 덤프 분석.
• 패턴 예시: ICMPv6 Type 135 (Neighbor Solicitation) 패킷 중 표준 규격을 벗어난 옵션 필드 길이 확인.

• 근본 해결: 영향 범위에 해당하는 Linux Kernel 버전을 최신 보안 패치 버전으로 업데이트하여 br_nd_send 호출 전 skb를 linearize 하도록 수정합니다.
• 즉시 조치 (임시):
  • 신뢰할 수 없는 인터페이스에서 인바운드 IPv6 ND 트래픽을 방화벽(iptables/nftables)으로 차단합니다.
  • 추정: ipv6.conf.all.accept_ra=0 설정을 통해 RA 수신을 제한하여 공격 표면을 축소할 수 있습니다. (단, 서비스 디스커버리 가용성 영향 확인 필요)

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된(신뢰도 1.0) 결과를 바탕으로 작성되었습니다. CVSS 9.1의 높은 이론적 심각도에도 불구하고, 실측 EPSS 값은 0.00485로 낮으며 KEV에 등재되지 않은 점을 고려하여 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이는 실제 야생 악용 사례가 아직 관측되지 않았으나, 영향 범위가 광범위한 공급망 특성을 반영한 규칙 기반 판단입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00485 · exploit=moderate · in_scope=None