[방어] 분석 — CVE-2025-21913

• 심각도 medium · CVSS 5.5 · EPSS 0.00191 · 악용난이도 hard

(1) 트리거 조건: Xen 가상화 환경에서 Guest OS가 AMD CPU의 특정 Model Specific Register(MSR_FAM10H_MMIO_CONF_BASE, 0xc0010058)에 접근을 시도할 때, Hypervisor(Xen)가 해당 MSR을 제공하지 않으면 unchecked MSR access error가 발생하며 시스템 경고 및 불안정성이 유발됨.
(2) 공격 단계:

• 정찰: 타겟 시스템이 Xen 가상화 환경이며 AMD CPU를 사용하는지 확인.
• 초기 접근: 로컬 사용자 권한(PR:L) 획득 (이미 획득한 상태여야 함).
• 실행: 커널 내 amd_get_mmconfig_range() 함수가 호출되는 경로(예: PNP 장치 초기화 과정)를 트리거하여 유효하지 않은 MSR 읽기 시도.
• 영향: 시스템 로그에 Warning 출력 및 추정: 커널 패닉 또는 서비스 거부(DoS) 상태 유발.
  (3) 공격 표면: x86/amd_nb 모듈의 MSR 접근 인터페이스.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요). 즉, 이미 시스템에 로그인한 저권한 사용자가 커널 기능을 트리거하여 가용성을 해치는 시나리오임.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터 상 AV:L과 PR:L 조건은 공격자가 이미 시스템 내부에 낮은 권한의 계정으로 진입해 있어야 함을 의미하며, 단순 네트워크 접근만으로는 트리거가 불가능합니다. 특히 AC:L임에도 불구하고, 실제 동작은 Linux 커널이 AMD 하드웨어의 MSR(MSR_FAM10H_MMIO_CONF_BASE)에 접근하는 과정에서 발생하는 예외 상황으로, 일반적인 유저 레벨 인터페이스가 아닌 커널 내부 함수(amd_get_mmconfig_range)와 하드웨어 레지스터 수준에서 발생합니다. EPSS 수치가 0.00191로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 취약점일 뿐 실제 야생(In-the-wild)에서 공격 코드로 구현되어 유포된 사례가 없음을 뒷받침합니다. 주요 공격 표면은 x86 AMD 아키텍처 기반의 가상화 환경(Xen Hypervisor 등)이며, 하이퍼바이저가 게스트 OS에 특정 MSR 접근 권한을 부여하지 않았을 때 발생하는 커널 경고 및 불안정성을 이용하는 형태입니다. 결론적으로, 로컬 권한을 가진 공격자가 특수한 가상화 환경의 제약 조건을 정밀하게 이용하여 커널 패닉이나 비정상 동작을 유도해야 하므로 실질적인 위협 수준은 낮습니다.

(1) 기술적 위험: A:H (Availability High). 유효하지 않은 MSR 접근으로 인한 커널 Warning 발생 및 추정: 특정 조건에서 시스템 크래시 또는 무한 루프 등으로 인한 서비스 중단 가능성. 데이터 유출(C:N)이나 권한 상승(I:N) 위험은 낮음.
(2) 비즈니스 영향: 가상화 인프라 내 Guest OS의 갑작스러운 재부팅이나 응답 불가 상태로 인해 해당 VM에서 구동 중인 서비스의 가용성 저하 및 운영 신뢰도 하락.

• 추정: 본 취약점 단독으로는 권한 상승이 불가능하나, 커널 패닉을 유도하여 시스템을 재부팅시키는 과정에서 다른 부트 타임 취약점이나 Race Condition 취약점을 결합하는 DoS 체이닝 패턴이 가능할 수 있음.

(1) 로그 지표: dmesg 또는 /var/log/syslog, /var/log/kern.log 내에 특정 MSR 주소와 함수명이 포함된 Warning 메시지 기록.
(2) 탐지 규칙:

• Rule 1 (SIEM/Log 분석):
  • 필드: message
  • 조건: message CONTAINS "unchecked MSR access error" AND message CONTAINS "0xc0010058" AND message CONTAINS "amd_get_mmconfig_range"
• Rule 2 (의사코드):
  xss복사

   1if "unchecked MSR access error" in kernel_log:
   2    if "RDMSR from 0xc0010058" in kernel_log and "xen_do_read_msr" in kernel_log:
   3        alert("Potential CVE-2025-21913 Trigger Detected")

(3) 오탐 시나리오 및 튜닝: Xen 환경에서 AMD CPU를 사용하는 정상적인 Guest OS의 부팅 과정 중 일시적으로 발생할 수 있음. 특정 시간대(부팅 시점)에 집중되는지 확인하고, 반복적으로 동일한 에러가 발생하며 시스템 성능 저하가 동반되는 경우에만 고위험으로 분류하여 튜닝함.

• 즉시(긴급 차단): Xen Hypervisor 설정에서 Guest OS의 MSR 접근 제어 정책을 검토하거나, 문제가 되는 MSR_FAM10H_MMIO_CONF_BASE 접근이 불필요한 경우 하이퍼바이저 수준에서 해당 요청을 무시하도록 설정(가능 시).
  • 난이도: 중간 / 운영 영향: 낮음 / 검증 방법: 로그 모니터링 / 우선순위: 높음.
• 단기(완화): 취약한 커널 버전의 VM에 대해 불필요한 PNP 장치 스캔이나 ACPI 관련 설정을 제한하여 amd_get_mmconfig_range 호출 경로를 최소화함.
  • 난이도: 중간 / 운영 영향: 보통 (장치 인식 문제 가능성) / 검증 방법: 부팅 로그 확인 / 우선순위: 보통.
• 근본(해결): Linux Kernel을 수정 버전으로 업데이트 (rdmsr_safe()가 적용된 버전). 6.1, 6.26.6, 6.76.12, 6.13 계열의 최신 패치 버전 적용.
  • 난이도: 낮음 / 운영 영향: 보통 (재부팅 필요) / 검증 방법: uname -r 및 커널 소스 확인 / 우선순위: 최고.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된(신뢰도 1.0) 사실을 기반으로 하며, 실측 EPSS 값(0.00191)과 CVSS 점수(5.5), 그리고 AV:L 및 non-KEV 상태를 종합하여 우선순위를 'monitor'로 결정한 규칙 기반 결과입니다. EPSS 수치가 매우 낮아 실제 야생에서의 악용 가능성은 희박하나, 가상화 환경의 안정성을 위해 모니터링이 권고됩니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00191 · exploit=hard · in_scope=None