[분석가] 분석 — CVE-2026-43024

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 트리거: netfilter 내 nf_tables 모듈에서 사용자 공간의 nftables 도구가 정상적으로 사용하지 않는 'immediate NF_QUEUE verdict'를 강제로 발생시킬 때 촉발됩니다.
• 원리: 특히 ARP 패밀리와 같이 큐 지원이 없는 환경에서도 해당 경로가 열려 있어, 비정상적인 판정(verdict) 처리를 유도하여 커널 상태를 불안정하게 만듭니다.
• 경로: 로컬 권한을 가진 공격자가 CAP_NET_ADMIN 권한 등을 이용해 특수하게 구성된 nftables 규칙을 생성하고 이를 커널 엔진에 전달하는 방식으로 진행됩니다.

악용 가능성: 본 취약점은 AV:L 벡터에 따라 공격자가 대상 시스템에 이미 로컬 접근 권한을 가진 상태에서만 트리거 가능하므로, 외부망에서의 직접적인 침투 경로로는 활용될 수 없습니다. AC:L과 PR:L 조건은 낮은 수준의 권한만으로도 취약한 엔드포인트에 도달할 수 있음을 의미하지만, 실제 공격을 위해서는 nf_tables 내 특정 파라미터를 통해 NF_QUEUE 판정을 즉시 생성하는 정교한 트리거 조건이 충족되어야 합니다. 특히 arp 패밀리와 같이 큐 지원이 없는 환경에서도 해당 경로가 노출되는 점이 주요 공격 표면(Attack Surface)으로 작용합니다. 다만, EPSS 수치가 0.00129로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실질적인 공격 가능성은 낮습니다. 따라서 본 취약점의 공격 난이도는 hard로 판정되며, 이는 로컬 권한 획득이라는 전제 조건과 커널 내부의 특정 상태를 유도해야 하는 제약 사항에 근거합니다.

• 영향 제품 및 규모: Linux kernel 4.19.307 ~ 6.12.81까지 총 8개 주요 계열의 광범위한 버전에 영향을 미칩니다. 다수의 배포판과 클라우드 인스턴스가 노출되었을 가능성이 매우 높습니다.
• 기술적 위험:
  • 가용성 상실(DoS): CVSS 벡터(A:H)에 근거하여, 비정상적인 verdict 처리로 인한 커널 패닉 및 시스템 전체 중단이 직접적인 위험입니다.
  • 권한 상승(LPE) 및 호스트 탈취: 단순 DoS를 넘어 커널 메모리 오염을 통한 로컬 권한 상승 가능성이 존재합니다. 특히 컨테이너 환경에서 커널을 공유하는 구조일 경우, --privileged 옵션이나 CAP_NET_ADMIN 권한이 부여된 파드(Pod)가 진입점이 되어 호스트 OS 전체를 탈취당할 위험이 있습니다.
• 비즈니스 리스크: 서비스 가용성 중단으로 인한 비즈니스 연속성 저해 및 컨테이너 격리 무력화에 따른 내부 인프라 권한 탈취 리스크가 발생합니다.

• netfilter 프레임워크의 상태 관리 미흡을 이용하는 패턴으로, 다른 로컬 권한 상승 취약점과 체이닝될 경우 낮은 권한의 사용자 계정에서 루트(root) 권한까지 획득하는 공격 경로로 활용될 수 있습니다.

• 행위 지표: nft 유틸리티를 통한 비정상적인 규칙 생성 시도 및 커널 로그 내 NF_QUEUE 관련 오류 메시지 모니터링.
• 시스템 콜 추적: setsockopt(IPPROTO_NETFILTER, NFNETLINK_V0, ...)와 같은 netfilter 설정 변경 호출을 auditd 등으로 추적.

• 근본 해결: 영향 범위에 해당하는 Linux kernel 버전을 최신 보안 패치 버전으로 업데이트합니다.
• 즉시 조치:
  • CAP_NET_ADMIN 권한 부여 프로세스 및 --privileged 컨테이너 목록을 추출하여 최소 권한 원칙에 따라 격리 및 제한합니다.
  • Seccomp 프로파일 또는 AppArmor/SELinux를 적용하여 불필요한 netfilter 관련 시스템 콜 접근을 차단합니다.

[분석 근거] 본 리포트는 다중 소스에서 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00129)이 매우 낮고 KEV 미등재 및 exploit 난이도(hard)인 점을 반영하여 우선순위를 'monitor'로 결정하였습니다. 다만, 커널 공유 구조의 컨테이너 환경에서는 LPE 리스크가 비즈니스적으로 치명적일 수 있음을 고려하여 대응 방안을 설계하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None