[공격] 분석 — CVE-2025-68742

• 심각도 미상 · CVSS 미상 · EPSS 0.0018 · 악용난이도 hard

이 취약점은 update_effective_progs 함수 내에서 메모리 할당 실패 시 발생하는 예외 처리 미흡과 SoftIRQ의 비동기적 실행 특성을 이용한 Race Condition 기반의 Invalid Memory Access이다.

• 공격 표면 (Attack Surface):
  • 엔드포인트: Linux Kernel BPF subsystem, 특히 cgroup-based BPF filter (__cgroup_bpf_run_filter_skb).
  • 파라미터/함수: __cgroup_bpf_detach $\rightarrow$ update_effective_progs $\rightarrow$ bpf_prog_array_alloc.
• 공격 체인 및 트리거 조건:
  1. 초기 접근: 공격자는 BPF 프로그램의 업데이트/삭제 권한(추정: CAP_BPF 또는 CAP_SYS_ADMIN)을 가져야 한다.
  2. 트리거 (Fault Injection): bpf_prog_array_alloc 단계에서 메모리 할당 실패를 유도하여 update_effective_progs가 실패하게 만든다.
  3. 상태 전이: 실패 후 purge_effective_progs가 호출되며, 기존 BPF 프로그램이 dummy_bpf_prog.prog로 교체된다.
  4. Race Window 진입: 이 시점에 SoftIRQ(__do_softirq)가 발생하여 네트워크 패킷 필터링 루틴(__cgroup_bpf_run_filter_skb)이 실행된다.
  5. 실행 (Invalid Access): bpf_prog_run 함수가 dummy_bpf_prog의 stats 멤버에 접근하려 하지만, 더미 객체는 유효한 stats 메모리를 가지고 있지 않아 NULL pointer dereference 또는 잘못된 주소 참조가 발생한다.
• 공격 벡터 분석 (추정):
  • AV: Local (커널 내부 함수 호출 필요)
  • AC: High (메모리 할당 실패 유도 및 SoftIRQ 타이밍 정밀 제어 필요)
  • PR: High (BPF 조작 권한 필요)
  • UI: None

악용 가능성: 본 취약점은 Linux Kernel의 BPF(Berkeley Packet Filter) 서브시스템 내 update_effective_progs 함수에서 발생하는 Race Condition 기반의 Invalid Memory Access로, 공격 난이도는 Hard로 평가됩니다. 공격자는 Local Privilege Escalation을 위해 cgroup 관련 BPF 프로그램의 Detach 과정 중 메모리 할당 실패(Fault Injection)를 유도하고, 그 찰나에 softirq 컨텍스트에서 해당 프로그램을 실행시켜 잘못된 포인터를 참조하게 만들어야 합니다. 공격 표면은 cgroup 기반의 BPF 필터링 엔드포인트와 관련 시스템 콜로 제한되며, 특히 커널 내부의 매우 짧은 타이밍 윈도우를 정밀하게 타격해야 하는 Race Condition 특성상 실전 악용 가능성은 낮습니다. 이는 EPSS 수치가 0.0018로 매우 낮고 KEV에 등재되지 않은 점과 일치하며, 이론적인 심각도보다는 특정 조건(Fault Injection 및 동시성 제어)이 충족되어야만 트리거되는 특수한 케이스입니다. 결과적으로 공격자가 커널 메모리 레이아웃을 정확히 파악하고 정밀한 타이밍 공격을 수행할 수 있는 환경이어야 하므로, 일반적인 외부 공격보다는 고도로 숙련된 로컬 사용자의 권한 상승 시나리오에 국한됩니다.

• 가용성 파괴 (DoS): 커널 패닉(Kernel Panic) 및 시스템 크래시를 유발하여 즉각적인 서비스 중단 가능.
• 추정: 권한 상승: 단순 Crash 이상의 메모리 변조나 제어 흐름 탈취 가능성은 낮으나, 특정 상황에서 stats 구조체 위치를 정밀하게 조작할 수 있다면 추정: 임의 주소 읽기/쓰기로 이어질 가능성을 배제할 수 없음.

• 체이닝 경로 (추정):
  • 권한 상승 $\rightarrow$ 커널 메모리 조작: 일반 사용자가 unprivileged_bpf_disabled 설정이 꺼져 있는 환경에서 BPF 프로그램을 로드할 수 있다면, 이 취약점을 통해 커널 패닉을 유도하거나 시스템 가용성을 제어하는 체인이 형성된다.
  • 정보 노출 $\rightarrow$ 정밀 공격: 다른 커널 메모리 누수(Information Leak) 취약점과 체이닝될 경우, dummy_bpf_prog 주변의 메모리 레이아웃을 파악하여 단순 Crash가 아닌 특정 값 덮어쓰기 시도로 발전할 수 있다.
• 유형 수준 분석: 본 결함은 '에러 처리 경로에서의 객체 상태 불일치(Inconsistent State in Error Path)' 패턴이며, 이는 전형적인 Use-After-Free 또는 Null Pointer Dereference 계열의 취약점과 궤를 같이 한다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 bpf_prog_run 함수 호출 스택을 포함한 Kernel Oops, General Protection Fault, NULL pointer dereference 패턴 감시.
• 비정상 동작 지표: BPF 프로그램 업데이트 직후 발생하는 갑작스러운 시스템 리부팅 또는 네트워크 스택 프리징 현상.

• 근본 해결: Linux 커널 패치 적용 (stats가 NULL인 경우 업데이트를 건너뛰도록 수정된 버전으로 업데이트).
• 즉시 조치:
  • 비특권 사용자의 BPF 접근 제한: sysctl -w kernel.unprivileged_bpf_disabled=1.
  • 불필요한 cgroup-BPF 필터 사용 최소화 및 관리자 권한 제어 강화.

분석 근거: 본 리포트는 다중 소스에서 일관성이 확인된 사실을 바탕으로 작성되었습니다. EPSS 실측값 0.0018(백분위 0.07796)은 실제 야생에서의 악용 가능성이 매우 낮음을 뜻하며, 공격 난이도가 'hard'로 평가됨에 따라 우선순위를 'monitor'로 결정하였습니다. 이는 이론적 심각도보다 실전 악용 가능성에 무게를 둔 결과입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.0018 · exploit=hard · in_scope=None