[공격] 분석 — CVE-2024-26783

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

• 트리거 조건: NUMA balancing이 활성화된 시스템에서 특정 NUMA 노드에 로컬 메모리가 없어 관리되는 zone이 존재하지 않을 경우, 커널은 wakeup_kswapd()를 zone index ‑1 로 호출한다.

• 공격 표면: 로컬 프로세스가 메모리 압력을 가할 수 있는 API(예: malloc, mmap, stress‑ng)와 NUMA 노드 지정 옵션이 노출된다.

• 단계 흐름
  1️⃣ 정찰 – /proc/numa_balancing, numactl --hardware 등으로 NUMA 구성과 비활성 zone 존재 여부 확인.
  2️⃣ 초기 접근 – 일반 사용자 권한(Low)만으로 메모리 할당을 시작, 목표 노드에 대량 페이지 요청.
  3️⃣ 실행·권한 획득 – 커널이 페이지 회수를 위해 wakeup_kswapd()를 호출하지만 잘못된 인덱스(‑1)로 진입 → OOPS 발생, 시스템 패닉(DoS). 이 단계는 CVSS 벡터 AV:L/AC:L/PR:L/UI:N와 일치한다.
  4️⃣ 지속·영향 – 지속적인 크래시를 유발해 서비스 가용성을 파괴하고, 재부팅 루프를 이용해 시스템 복구 절차를 방해할 수 있다.

• 원리 요약: NUMA balancing 로직이 비어 있는 zone에 대해 회수 스레드를 깨우려 할 때 인덱스 검증이 누락돼 커널 페이지 테이블 접근 오류가 발생한다.

• 추정: 공격자는 이 OOPS를 이용해 직접 코드 실행(RCE)까지 도달하기는 어려우나, 다른 로컬 권한 상승 결함과 연계하면 제어 흐름을 탈취할 가능성이 있다.

악용 가능성: 이 취약점은 AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저특권)·UI:N(사용자 개입 없음)이라는 CVSS 벡터와 일치하지만, 실제 공격이 성공하려면 로컬 시스템에서 NUMA balancing을 활성화하고 메모리 압박 상황을 인위적으로 만들 수 있는 권한이 필요합니다. 즉, 일반 사용자 수준에서도 mbind·set_mempolicy 등으로 특정 NUMA 노드에 메모리를 할당하고, 해당 노드가 관리 영역(zone)을 갖지 않도록 구성해야 하며, 이후 커널의 페이지 회수 스레드(kswapd)를 호출하도록 유도해야 합니다. 이러한 전제조건은 일반적인 로컬 권한만으로는 달성하기 어려워 hard 등급이 유지됩니다. EPSS = 0.00242라는 실측 확률과 KEV에 등재되지 않은 점은 현재까지 실제 악용 사례가 거의 보고되지 않았음을 보여주지만, 공격자가 위 조건을 만족시킬 경우 이론적으로 커널 OOPS를 유발해 시스템 크래시 또는 권한 상승으로 이어질 수 있음을 의미합니다. 따라서 공격 표면은 NUMA balancing 설정, 메모리 할당 API(예: mbind, set_mempolicy), 그리고 페이지 회수 로직을 트리거할 수 있는 커널 내부 호출(wakeup_kswapd)에 국한됩니다. 이 경로를 이용하려면 공격자는 로컬에서 충분히 많은 메모리를 할당·해제하며 메모리 압박을 조작해야 하므로, 실전에서 악용 가능성은 낮지만 완전히 배제할 수 없는 위험으로 평가됩니다.

• 시스템 전체 패닉 → 서비스 중단(DoS).
• 커널 로그에 OOPS가 남으며 재부팅 시 데이터 손실 위험.
• 직접적인 원격 코드 실행은 없지만, 가용성 및 신뢰성에 심각한 영향을 미친다.

• 메모리 관리 결함 → 커널 패닉 패턴과 유사한 과거 CVE(예: CVE‑2022‑XXXX)와 연계될 경우, 초기 OOPS 후 남은 메모리 구조를 이용해 임의 코드 실행이 가능할 수 있다.
• 추정: 다른 로컬 권한 상승(LPE) 취약점과 결합하면, 크래시 후 재부팅 시 커널 모듈을 삽입하거나 kexec_load 등을 활용해 영구적인 제어를 확보할 여지가 존재한다.

• dmesg·/var/log/kern.log에 “BUG: unable to handle page fault for address” 및 wakeup_kswapd 호출 위치(라인 7812)와 함께 “zone index -1” 메시지가 기록될 경우.
• 시스템 모니터링 도구(e.g., syslog, auditd)에서 OOPS 발생 시 알림을 설정한다.

• 즉시 조치: 해당 커널 버전(5.18‑6.6.22, 6.7‑6.7.9 등)에서 제공되는 패치를 적용한다.
• 임시 회피: /proc/sys/kernel/numa_balancing을 0 으로 설정하거나 sysctl -w kernel.numa_balancing=0 로 NUMA balancing을 비활성화한다.
• 장기 방어: 최신 커널 릴리즈(≥6.7.10)로 업그레이드하고, OOPS 로그를 지속적으로 모니터링하여 이상 징후를 조기에 탐지한다.

근거: 다중 소스에서 일관성이 확인되었습니다([교차검증]). EPSS 0.00242와 백분위 0.1552는 실제 악용 가능성을 낮게 평가하지만, “hard” 등급과 로컬 저복잡도 공격 경로를 고려해 모니터링 우선순위를 부여했습니다([실측 악용예측], [우선순위 결정]).

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None