[단독분석] 분석 — CVE-2025-21682

• 심각도 high · CVSS 7.3 · EPSS 0.00217 · 악용난이도 hard

• 로컬 사용자(권한 PR:L)가 ip link set dev <iface> xdp off 명령으로 XDP를 비활성화하면, bnxt 드라이버가 netdev_update_features() 호출 시 HW‑GRO 플래그 재계산을 제대로 수행하지 않아 null‑dereference 또는 잘못된 메모리 접근이 발생한다.
• 이 상태에서 추가적인 네트워크 인터페이스 재구성(예: 링 수 감소)으로 인해 커널 내부 구조가 손상되어, 공격자는
  • 커널 메모리를 읽어 (C:H) 민감 정보 유출,
  • 시스템을 크래시시키고 서비스 중단(A:H) 시도,
  • 메모리 손상을 이용해 로컬 권한 상승(I:L) 가능성을 가질 수 있다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로, 공격자가 로컬 시스템에 접근해야 하며 복잡도는 낮고 최소 권한(예: CAP_NET_ADMIN 수준)만으로도 이용 가능함을 의미합니다. 그러나 실제 악용이 성립하려면 XDP 프로그램을 attach·detach 한 뒤 netdev_update_features 가 호출되는 특정 재구성 흐름을 정확히 재현해야 하므로, 공격 조건이 제한적입니다. EPSS 값 0.00217(≈0.2 %)은 현재 관측된 실제 악용 가능성이 매우 낮다는 통계적 근거이며, KEV에 등재되지 않은 점도 아직 공개적으로 활용된 사례가 없음을 보여줍니다. 공격 표면은 bnxt 드라이버를 사용하는 Linux 시스템의 네트워크 인터페이스와, ip link 명령을 통해 조작 가능한 XDP eBPF 프로그램

• 영향 제품: Linux kernel 4.16 ~ 6.12.11 전 버전(다중 배포판 포함). 다수의 서버·컨테이너 환경에 광범위하게 적용됨.
• 기술적 위험
  • 기밀성: 커널 메모리 노출로 인해 암호키, 인증 토큰 등 민감 데이터가 로컬 사용자에게 유출될 수 있음.
  • 가용성: null‑dereference에 의해 시스템이 즉시 패닉(panic)하고 재부팅되며 서비스 중단을 초래함(AV:L · A:H).
  • 무결성: 메모리 손상으로 제한적이지만 로컬 권한 상승이 가능해 시스템 무결성이 침해될 여지가 있음(I:L).
• 비즈니스 리스크
  • 서비스 가용성 저하로 SLA 위반 및 고객 신뢰도 하락.
  • 민감 데이터 유출 시 규제·컴플라이언스(예: GDPR, PCI‑DSS) 위반 위험.
  • 다수의 Linux 배포판이 동일 커널을 사용하므로 공급망 차원의 광범위한 영향 가능성 존재([품질 신호] 참고).

• 유사하게 XDP/ethtool 조합에서 발생하는 netdev_update_features 오류(CVE‑2024‑xxxx 등)와 연계될 경우, 동일 드라이버의 다른 기능(RSS, RSS hash table) 재구성 시 추가적인 메모리 손상이 일어날 수 있다.
• 현재 확인된 직접적인 체이닝 CVE 번호는 없으며, 추정 수준에서만 다른 XDP 관련 로컬 권한 상승 취약점과 연계 가능성을 제시한다.

• 로그: dmesg 또는 커널 로그에 “kernel NULL pointer dereference” 혹은 “BUG: unable to handle kernel paging request”와 같은 패닉 메시지가 발생하면 의심.
• ethtool 출력 변화: XDP 비활성화 후 ethtool -k <iface>에서 rx-gro-hw 플래그가 예기치 않게 off → on 혹은 반대로 변동되는 경우.
• 시스템 콜 트레이스: strace -e trace=ioctl,setsockopt 로 XDP 설정 시 netdev_update_features 호출이 연속적으로 발생하는지 모니터링.

• 즉시 조치
  1. 공식 패치를 포함한 최신 커널(또는 최소 6.12.11 이상)으로 업데이트한다.
  2. XDP 사용 중인 인터페이스에 대해 ethtool -K <iface> gro on 명령을 수동 적용하여 HW‑GRO 플래그를 재설정한다.
• 근본 해결
  • upstream 커밋 98ba1d931f61 및 이후 보안 패치를 배포된 모든 시스템에 적용하고, 장기적으로는 커널 업데이트 정책을 강화해 최신 보안 릴리즈를 신속히 도입한다.

우선순위 판단 근거: 다중 소스 교차검증 결과 일관성이 확인됐으며([교차검증] 다중 소스에서 일관성 확인), EPSS 0.00217(낮은 관측 악용 가능성)에도 불구하고 CVSS 7.3·high 심각도와 로컬 권한 상승 위험으로 이번 주 내 대응을 scheduled로 지정([우선순위 결정] 규칙 기반).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.3 · non-KEV · EPSS=0.00217 · exploit=hard · in_scope=None