[분석가] 분석 — CVE-2024-57924

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

(1) 트리거 조건: 파일 시스템의 ->encode_fh() 메서드가 실패할 때, 이를 적절히 처리하지 않고 WARN_ON() 단언문(assertion)을 통해 커널 패닉을 유발하는 결함입니다. 특히 OverlayFS가 마운트된 환경에서 inotify와 drop_caches를 조합하여 트리거 가능성이 높아집니다.
(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 OverlayFS 사용 여부 확인.
• 초기 접근: 로컬 셸 권한 확보 (PR:L).
• 실행: 특정 조건(예: OverlayFS + inotify)을 생성하여 파일 핸들 인코딩 실패를 유도하는 시스템 콜 호출.
• 영향: 커널 내 WARN_ON() 발생으로 인한 시스템 크래시 및 가용성 상실.
  (3) 공격 표면: 로컬 사용자 권한으로 접근 가능한 파일 시스템 인터페이스 및 관련 시스템 콜(name_to_handle_at 등).
  (4) CVSS 벡터 분석: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요), A:H(가용성에 높은 영향)으로, 인증된 로컬 사용자가 시스템을 중단시킬 수 있는 조건입니다.

악용 가능성: 본 취약점은 Linux kernel 내 exportfs_encode_fh() 및 exportfs_encode_fid() 함수 호출 시, 파일 핸들 인코딩 실패에 대한 잘못된 WARN_ON() assertion으로 인해 발생합니다. 공격 벡터가 Local(AV:L)이며 낮은 권한(PR:L)이 필요하지만, 복잡성(AC:L)과 사용자 상호작용(UI:N)이 낮아 조건 충족 시 트리거가 용이합니다. 하지만 EPSS 수치가 0.00242로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적 취약점에도 불구하고 실제 야생에서의 악용 사례는 미관측되었음을 시사합니다. 공격 표면은 name_to_handle_at(2) 시스템 콜 및 NFS 서버(nfsd)와 연계된 파일 핸들 인코딩 경로로 제한됩니다. 결과적으로 공격자가 로컬 권한을 획득한 상태에서 특정 파일 시스템의 인코딩 실패를 유도해야 하므로, 실제 악용 가능성과 공격 난이도는 'Hard' 등급으로 판단됩니다.

(1) 기술적 위험: 커널 패닉(Kernel Panic)으로 인한 서비스 중단(Denial of Service). 데이터 유출이나 권한 상승과 같은 기밀성/무결성 훼손은 발생하지 않습니다.
(2) 비즈니스 영향: 서버 가용성 상실로 인한 서비스 다운타임이 발생하며, 이는 인프라 운영 신뢰도 저하 및 가동 시간(Uptime) SLA 위반으로 이어질 수 있습니다. 영향 범위는 Linux 커널 6.1.151 미만, 6.26.6.74, 6.76.12.10 버전의 광범위한 배포판을 포함합니다.

추정: 본 취약점은 단독으로 시스템 가용성을 파괴하는 DoS 유형입니다. 권한 상승(LPE)과 체이닝될 경우, 공격자가 특정 서비스의 가동 중단을 유도하여 백업 프로세스나 장애 복구 메커니즘의 허점을 노리는 시나리오로 이어질 가능성이 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 WARN_ON 메시지와 함께 encode_fh 관련 스택 트레이스 및 Kernel Panic 덤프 확인.
(2) 탐지 규칙 예시:

• 로직: dmesg 또는 커널 로그에서 "WARN_ON"과 "encode_fh" 문자열이 동시에 발생하는 패턴 감시.
• 정규식 예시: /(?=.*WARN_ON)(?=.*encode_fh)/
  (3) 오탐 시나리오: 하드웨어 결함이나 다른 드라이버 오류로 인한 커널 패닉과 혼동될 수 있습니다. 로그 내의 함수 호출 스택(Call Stack)에서 파일 시스템 핸들링 관련 함수가 포함되어 있는지 확인하여 튜닝합니다.

• 즉시(긴급 차단): 불필요한 로컬 사용자의 셸 접근 권한을 제한하고, OverlayFS 등 취약점이 트리거되는 특정 파일 시스템 마운트 옵션을 검토합니다. (난이도: 하 / 영향: 낮음 / 검증: 사용자 권한 확인)
• 단기(완화): drop_caches와 같은 커널 파라미터 수정 권한을 일반 사용자가 가질 수 없도록 제한(sysctl 설정 강화)합니다. (난이도: 하 / 영향: 낮음 / 검증: /proc/sys/vm/drop_caches 쓰기 권한 확인)
• 근본(해결): 영향을 받는 커널 버전을 패치된 버전(6.1.151, 6.6.74, 6.12.10 이상)으로 업데이트합니다. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r로 커널 버전 확인)

[분석 근거]

• 다중 소스 데이터 간의 일관성이 확인되어 신뢰도 1.0으로 분석되었습니다.
• EPSS 실측값(0.00242, 백분위 0.15479)이 매우 낮고 KEV에 등재되지 않았으며, 공격 난이도가 'hard'로 평가됨에 따라 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도(CVSS 5.5)보다 실제 야생에서의 악용 가능성이 현저히 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None