[단독분석] 분석 — CVE-2025-21655

• 심각도 high · CVSS 7.8 · EPSS 0.00246 · 악용난이도 hard

• 원리: io_eventfd_do_signal()이 RCU callback 내에서 호출될 때, io_ev_fd의 reference count가 0이 되면 io_eventfd_free()를 직접 호출하여 메모리를 해제합니다.
• 경로: 정상적인 RCU 메커니즘이라면 또 다른 RCU grace period 동안 해제를 유예(defer)해야 하나, 이를 생략하고 즉시 해제함으로써 Use-After-Free(UAF) 상황을 유발합니다.
• 단계: 로컬 권한을 가진 공격자가 io_uring과 eventfd를 조작하여 특정 조건에서 메모리 오염을 촉발시키고, 이를 통해 커널 메모리 영역에 비정상적인 접근을 시도하는 단계로 이어집니다.

악용 가능성: 본 취약점은 Linux kernel의 io_uring 서브시스템 내 eventfd 처리 과정에서 발생하는 Use-After-Free(UAF) 위험으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 일반 사용자 권한의 계정을 보유하고 로컬 셸에 접근할 수 있어야 합니다. 구체적인 공격 표면은 io_uring 인터페이스를 통해 생성된 eventfd 객체이며, RCU(Read-Copy-Update) grace period가 적절히 지연되지 않은 상태에서 io_eventfd_free()가 직접 호출되는 타이밍 윈도우를 정밀하게 타격해야 합니다. 다만 EPSS 수치가 0.00246으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 메모리 오염 가능성과 달리 실제 야생(In-the-wild)에서 성공적으로 악용된 사례가 미관측되었음을 시사합니다. 따라서 본 취약점의 악용 가능성은 커널 내부의 복잡한 레이스 컨디션을 유도해야 하는 기술적 제약으로 인해 제한적이지만, 권한 상승(Privilege Escalation)을 목표로 하는 정밀한 로컬 공격자에게는 잠재적인 타겟이 될 수 있습니다.

• 영향 범위: Linux kernel 6.16.1.125, 6.26.6.72, 6.7~6.12.10 등 다수의 버전이 영향을 받습니다. 다중 소스 데이터 교차검증을 통해 일관성이 확인되었으며, 영향 제품군이 광범위하여 공급망 관점의 노출 규모가 클 것으로 분석됩니다.
• 기술적 위험: Memory-Corruption 유형으로, 성공적인 악용 시 커널 패닉으로 인한 시스템 중단(DoS) 또는 권한 상승(Privilege Escalation)을 통한 시스템 장악 가능성이 있습니다. (CVSS 7.8 / C:H/I:H/A:H 반영)
• 비즈니스 리스크: 서버 가용성 저하 및 커널 수준의 데이터 무결성 침해로 인한 서비스 신뢰도 하락이 예상됩니다. 다만, 공격 벡터가 로컬(AV:L)이며 권한이 필요(PR:L)하므로 외부에서 즉시 진입하는 직접적 리스크보다는 내부 침투 후 권한 상승 단계에서의 위험이 큽니다.

• 유형: RCU(Read-Copy-Update) 메커니즘의 생명주기 관리 미흡으로 인한 메모리 오염 패턴입니다.
• 체이닝: 추정: 초기 진입점(Initial Access)을 확보한 공격자가 로컬 권한 상승(LPE)을 위해 다른 커널 취약점과 체이닝하여 최종적으로 Root 권한을 획득하는 경로로 활용될 수 있습니다.

• 커널 로그: KASAN(Kernel Address Sanitizer)이 활성화된 환경에서 use-after-free 관련 커널 트레이스 및 패닉 로그 확인.
• 행위 지표: 비정상적으로 많은 io_uring 시스템 콜 호출과 eventfd 조작 패턴을 보이는 로컬 프로세스 모니터링.

• 근본 해결: 취약점이 수정된 최신 커널 버전으로 업데이트하여 io_eventfd_put()을 통해 RCU grace period가 정상적으로 유예되도록 조치하십시오.
• 우선순위 판단: 본 건은 CVSS 7.8의 높은 심각도에도 불구하고, 실측 EPSS 값이 0.00246(백분위 0.15885)으로 매우 낮고 KEV에 등재되지 않았으며 exploit 난이도가 hard로 평가됩니다. 따라서 규칙 기반 우선순위에 따라 '이번 주 내(scheduled)' 대응을 권고합니다.
• 즉시 조치: 패치가 불가능한 환경에서는 추정: io_uring 사용 제한 설정을 통해 공격 표면을 축소하는 방안을 검토하십시오.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00246 · exploit=hard · in_scope=None