[방어] 분석 — CVE-2026-31670

• 심각도 medium · CVSS 5.5 · EPSS 0.0012 · 악용난이도 hard

저권한(low-privileged) 사용자가 시스템 설정에 따라 /dev/rfkill 파일 디스크립터를 통해 무제한으로 rfkill 이벤트를 생성하고, 이를 소비(consume)하지 않은 채 방치하여 커널 메모리를 고갈시키는 Local DoS 공격입니다.

1. 경로: Userspace $\rightarrow$ Kernel (net: rfkill 서브시스템).
2. 단계: /dev/rfkill 오픈 $\rightarrow$ 대량의 이벤트 생성 요청 $\rightarrow$ 커널 내 pending 이벤트 큐 적체 $\rightarrow$ 메모리 점유 증가 $\rightarrow$ OOM(Out Of Memory) 발생.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건으로 인해, 공격자는 반드시 대상 시스템에 유효한 계정 권한을 가지고 로컬 쉘(Local Shell)에 접근할 수 있어야 합니다. 공격 표면은 Linux 커널의 rfkill 인터페이스이며, 특히 유저스페이스에서 생성하는 rfkill events를 소비하지 않고 무한히 누적시키는 방식으로 메모리 고갈(Out of Memory)을 유도하는 DoS(Denial of Service) 형태를 <0xEB><0x9D><0xB1>니다. EPSS 수치가 0.0012로 매우 낮고 KEV에 등재되지 않은 점은, 현재 야생에서 자동화된 익스플로잇이 활발히 유포되고 있지 않음을 시사합니다. 하지만 이론적 심각도와 별개로, 권한을 가진 내부자나 이미 침투에 성공한 공격자가 시스템 전체를 마비시키는 가용성 공격 수단으로 악용할 가능성이 존재합니다. 결과적으로 낮은 네트워크 노출도 덕분에 즉각적인 외부 위협은 낮으나, 로컬 권한을 획득한 공격자의 '권한 상승' 전 단계인 시스템 무력화 시나리오에서 유효한 공격 경로가 됩니다.

• 가용성 파괴: 커널 메모리 고갈로 인해 시스템 전체가 응답 불능 상태에 빠지거나, OOM Killer가 임의의 중요 프로세스를 종료시켜 서비스 중단이 발생합니다.
• 멀티테넌트 리스크: 특히 컨테이너 환경에서 특정 사용자의 리소스 고갈이 호스트 커널에 영향을 주어 인접 컨테이너까지 마비시키는 '노이즈 네이버' 효과가 발생할 수 있습니다.

• 리소스 고갈 패턴: 전형적인 Unbounded Resource Allocation 유형입니다.
• 체이닝 가능성: 단독으로는 DoS에 그치지만, 권한 상승(Privilege Escalation) 취약점과 결합하여 시스템 관리자의 대응을 방해하거나 특정 보안 프로세스를 OOM으로 강제 종료시킨 후 공격 경로를 확보하는 용도로 활용될 수 있습니다.

OOM 발생 이후의 로그는 사후 분석에 불과하므로, 이벤트 생성 단계의 이상 징후를 포착하는 것이 핵심입니다. 다중 소스 교차검증 결과 데이터 일관성이 확인되었으므로 아래 지표를 신뢰합니다.

1. 주요 탐지 지표 및 로그 위치

• Kernel Log (dmesg, /var/log/syslog): Out of memory: Kill process, Killed process [PID] (rfkill_event_related) 등의 패턴 확인.
• System Call Trace: open 호출 대상이 /dev/rfkill인 프로세스의 빈도 및 지속 시간 감시.
• Netlink Traffic: rfkill 관련 netlink 메시지의 급격한 증가량 확인.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1: 비정상적 rfkill 파일 접근 감시
  sql복사

   1SELECT process_name, user, count(*) as open_count
   2FROM syscall_logs
   3WHERE syscall = 'open' AND target_path = '/dev/rfkill'
   4GROUP BY process_name, user
   5HAVING open_count > [Threshold: 100] WITHIN 1m

• Rule 2: 커널 메모리 급증 및 OOM 전조 탐지
  sql복사

   1SELECT host, memory_usage
   2FROM kernel_metrics
   3WHERE slab_memory_growth > 20% AND active_process_count = 'constant'
   4AND event_type = 'rfkill_event_creation'

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 하드웨어 드라이버 업데이트나 특정 네트워크 관리 도구가 일시적으로 많은 이벤트를 생성할 수 있습니다.
• 튜닝 방법: rfkill을 정상적으로 사용하는 신뢰된 바이너리(예: rfkill CLI, NetworkManager)의 화이트리스트를 적용하고, 임계값을 시스템의 평균 메모리 사용량에 맞춰 조정하십시오.

본 취약점은 EPSS 0.0012 및 CVSS 5.5로 실측 악용 가능성은 낮으나(Hard), 영향 범위가 광범위하여 우선순위를 monitor로 결정하였습니다. 이는 KEV 미등재 및 로컬 권한 필요 조건에 근거합니다.

1. 즉시 (긴급 차단)

• 조치: /dev/rfkill 장치 파일의 접근 권한을 엄격히 제한(chmod 600 또는 특정 그룹으로 한정).
• 난이도: 매우 낮음 / 운영 영향: 낮음 (일반 사용자의 rfkill 제어 불가) / 검증: ls -l /dev/rfkill 확인.

2. 단기 (완화)

• 조치: cgroup v2를 사용하여 사용자별/컨테이너별 메모리 쿼터(memory.max) 및 프로세스 수 제한을 적용하여 커널 전체 OOM 전이를 방지.
• 난이도: 중간 / 운영 영향: 중간 (설정 미흡 시 정상 서비스 종료 가능) / 검증: systemd-run --property=MemoryMax=... 등으로 테스트.

3. 근본 (해결)

• 조치: 해당 CVE가 해결된 최신 커널 버전으로 업데이트(pending 이벤트 상한선 1000개 제한 패치 적용).
  • 영향 제품군: Linux Kernel 2.6.31.1 ~ 6.19.13 등 광범위함.
• 난이도: 높음 (커널 업데이트 및 재부팅 필요) / 운영 영향: 높음 (서비스 다운타임 발생) / 검증: uname -r로 패치 버전 확인.

잔여 리스크: 패치 후에도 1,000개의 이벤트가 생성될 수 있으므로, 매우 제한적인 메모리 환경에서는 여전히 부분적인 리소스 압박이 있을 수 있습니다. 따라서 cgroup 기반의 자원 격리를 병행할 것을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0012 · exploit=hard · in_scope=None