[공격] 분석 — CVE-2025-21731

• 심각도 high · CVSS 7.8 · EPSS 0.00219 · 악용난이도 hard

(1) 트리거 조건: nbd_genl_disconnect()와 nbd_genl_reconfigure() 사이의 Race Condition을 이용해 nbd_config 객체의 참조 카운트를 비정상적으로 관리하여 Use-After-Free를 유발함.

(2) 공격 단계:

• 초기 접근: 로컬 사용자 권한 확보 (PR:L). NBD 장치에 접근 가능한 권한이 전제됨.
• 준비 (Reference Grab): nbd_config 객체의 참조를 일시적으로 획득하여 카운트를 유지함.
• 트리거 1 (Disconnect): nbd_genl_disconnect() 호출 $\rightarrow$ recv_work() 플러시 및 초기 참조 해제 시도. 하지만 준비 단계의 참조로 인해 객체가 완전히 해제되지 않은 상태가 됨.
• 트리거 2 (Reconfigure): nbd_genl_reconfigure()를 통해 recv_work()를 다시 큐에 삽입하여 재연결 시도.
• 실행 (UAF): 준비 단계의 참조를 해제하면, 이후 실행되는 recv_work가 이미 프리(free)된 nbd_config 메모리에 접근(atomic_dec(&config->recv_threads))하며 Memory Corruption 발생.

(3) 공격 표면:

• 엔드포인트: Linux Kernel NBD (Network Block Device) 드라이버.
• 인터페이스: Generic Netlink (nbd_genl_* 함수군).
• 함수: nbd_genl_disconnect(), nbd_genl_reconfigure(), recv_work().

(4) CVSS 벡터 분석:

• AV:L / PR:L: 로컬 권한을 가진 사용자가 Netlink 인터페이스를 통해 커널 함수를 호출해야 하므로 원격 공격은 불가하며, 최소 사용자 권한이 필요함.
• AC:L: 특정 시퀀스로 함수를 호출하는 논리적 결함이므로 복잡도가 낮음.

악용 가능성: 본 취약점은 Linux kernel의 NBD(Network Block Device) 드라이버에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard 수준입니다. AV:L 및 PR:L 벡터가 시사하듯, 공격자는 대상 시스템에 이미 일반 사용자 권한을 가진 계정으로 접근해 있어야 하며 로컬 환경에서만 트리거 가능합니다. 공격 표면은 NBD의 설정 변경과 연결 상태를 제어하는 Generic Netlink 인터페이스(nbd_genl_disconnect, nbd_genl_reconfigure) 및 관련 커널 함수들입니다. 구체적으로는 nbd_config 객체의 참조 횟수(Reference Count) 관리 허점을 이용해, 연결 해제 후 재설정 과정에서 이미 해제된 메모리 영역에 접근하도록 유도하는 정교한 레이스 컨디션(Race Condition)을 설계해야 합니다. EPSS 수치가 0.00219로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 메모리 오염 위험에도 불구하고 실제 야생(In-the-wild)에서 자동화된 익스플로잇으로 활용될 가능성이 현재로서는 희박함을 의미합니다. 결과적으로 본 취약점은 단순한 트리거를 넘어 권한 상승(LPE)으로 이어지기 위해 커널 힙 레이아웃 조작과 같은 고난도 체이닝 기술이 필수적인 구조입니다.

(1) 기술적 위험: Memory Corruption으로 인한 커널 패닉(Kernel Panic) 및 시스템 가용성 상실(DoS). 추정: 메모리 레이아웃 조작 성공 시, 임의 커널 메모리 쓰기를 통한 권한 상승(Privilege Escalation) 가능성이 존재함.
(2) 비즈니스 영향: NBD를 사용하여 네트워크 스토리지를 마운트한 서버의 경우, 시스템 크래시로 인한 서비스 중단 및 데이터 입출력 무결성 훼손 위험이 있음.

• 체이닝 경로: Local User Access $\rightarrow$ UAF (Memory Corruption) $\rightarrow$ Kernel Privilege Escalation (LPE).
• 유형 수준 분석: 본 취약점은 전형적인 Race Condition 기반의 UAF 패턴임. 추정: 커널 주소 공간 배치 난독화(KASLR)를 우회하기 위한 별도의 정보 유출(Information Leak) 취약점과 체이닝될 경우, 단순 DoS를 넘어 Root 권한 획득으로 이어질 확률이 높음.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 General Protection Fault 또는 Kernel Panic 발생 시 nbd 관련 함수 스택 트레이스 확인.
(2) 탐지 규칙 예시:

• Logic: 단시간 내 동일한 NBD 장치에 대해 disconnect와 reconfigure Netlink 메시지가 반복적으로 교차 발생하는 패턴 감시.
• SIEM 쿼리 (의사코드): SELECT host FROM kernel_events WHERE event_id = 'NBD_GENL_MSG' AND (msg_type IN ('DISCONNECT', 'RECONFIGURE')) GROUP BY host, nbd_device_id HAVING count(*) > threshold WITHIN 1s
  (3) 오탐 시나리오: 네트워크 불안정으로 인해 NBD 클라이언트가 자동으로 재연결을 시도하는 경우 오탐 가능성 있음. 특정 사용자 ID가 비정상적으로 빠른 주기로 해당 요청을 보내는지 확인하여 튜닝 필요.

• 즉시 (긴급 차단): 불필요한 NBD 모듈 로드 차단 (modprobe -r nbd 또는 /etc/modprobe.d/에서 blacklist nbd 설정). [난이도: 하 / 영향: NBD 사용 불가]
• 단기 (완화): NBD 장치 제어 권한을 제한하여 일반 사용자가 Netlink 인터페이스를 통해 NBD 설정을 변경하지 못하도록 ACL 강화. [난이도: 중 / 영향: 운영 프로세스 확인 필요]
• 근본 (해결): Linux 커널 업데이트. (영향 제품 버전별 최신 패치 적용: 6.12.14+, 6.6.77+, 6.1.130+ 등 해당 버전의 수정 버전으로 업그레이드). [난이도: 중 / 영향: 재부팅 필요]

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. EPSS 수치(0.00219, 백분위 0.12545)는 현재 실제 야생에서의 악용 사례가 매우 드물며 공격 난이도가 높음(hard)을 의미합니다. 따라서 KEV 미등재 및 낮은 EPSS 값을 근거로 우선순위를 scheduled (이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00219 · exploit=hard · in_scope=None