[단독방어] 분석 — CVE-2026-31761

• 심각도 high · CVSS 7.8 · EPSS 0.00104 · 악용난이도 hard

• 악성 사용자는 로컬에서 MPU3050(gyro) IIO 드라이버가 iio_device_register()를 프로브 초기에 호출하는 시점을 노려, 다른 스레드가 해당 디바이스 구조체에 접근하도록 레이스 컨디션을 유발합니다.
• 레이스가 성공하면 커널 메모리 손상이 발생하고, 공격 코드는 임의 코드 실행(RCE)으로 전환해 루트 권한을 획득합니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 정의되므로, 공격자는 로컬 환경에서 복잡도가 낮고(Low) 최소 권한(Low) 으로도 악용할 수 있지만, 반드시 시스템에 직접 접근해야 합니다. UI가 필요 없으므로 사용자의 행동을 유발하지 않지만, 커널 모듈이 로드되는 시점의 iio_device_register() 호출 위치를 조작할 수 있는 권한(예: 루트 혹은 해당 디바이스 드라이버를 로드할 수 있는 계정)이 전제됩니다. EPSS 값 0.00104는 현재까지 실측된 악용 사례가 극히 드물다는 것을 의미하며, KEV 목록에 등재되지 않은 점도 실제 공격이 활발히 진행되고 있지 않음을 뒷받침합니다. 공격 표면은 Linux 커널의 IIO(Industrial I/O) 서브시스템 내 mpu3050 드라이버가 프로브 단계에서 등록되는 /sys/bus/iio/devices/… 경로와, 해당 디바이스를 초기화하는 코드에 국한됩니다. 따라서 공격자는 시스템에 로컬 권한으로 접근해 해당 모듈을 강제로 재로드하거나, 비정상적인 프로브 흐름을 유도할 수 있는 환경(예: 커스텀 init script, 컨테이너 탈출 시 커널 모듈 삽입)에서만 이 취약점을 이용할 수 있습니다. 전반적으로 **

• 성공적인 악용 시 공격자는 전체 시스템에 대한 최고 권한을 얻어 기밀 데이터 탈취·시스템 파괴·서비스 거부 등 모든 보안 목표(C, I, A)를 달성할 수 있습니다.
• 해당 취약점은 로컬에서만 발동되므로 원격 공격자는 물리적 접근이나 내부 사용자를 전제로 해야 합니다.

• 동일한 iio_device_register() 위치 오류가 다른 IIO 센서 드라이버에서도 보고된 바 있어, 패턴 기반 체이닝(동일 함수 호출 순서 오류 → 레이스 컨디션)으로 연쇄적인 권한 상승 시나리오를 구성할 수 있습니다.

• 로그 소스: kernel.log / dmesg, auditd (syscall init_module/delete_module), systemd-journald
• 핵심 필드: MESSAGE에 포함되는 “iio_device_register” 혹은 “probe failed” 문자열, 타임스탬프 간격이 비정상적으로 짧은 연속 로그(레이스 발생 가능)

 1source: kernel
 2where MESSAGE =~ /iio_device_register\(\).*probe/
 3and MESSAGE =~ /failed|error/

 1SELECT event.time, evt.type, evt.name
 2FROM audit_events AS evt
 3WHERE (evt.name = 'init_module' OR evt.name = 'delete_module')
 4AND evt.args LIKE '%mpu3050%'
 5HAVING COUNT(*) OVER (PARTITION BY evt.process_id ORDER BY evt.time RANGE INTERVAL 5 SECOND) >= 2;

• SIEM 의사코드

 1if log.source == "kernel" and log.message contains "iio: gyro mpu3050"
 2   and time.diff(previous(log)) < 1s then alert("Possible MPU3050 race condition")

• 커널 파라미터 제한: sysctl kernel.modules_disabled=1을 일시적으로 적용해 새로운 커널 모듈 로드를 차단하고, 기존에 로드된 드라이버만 유지한다.

  • 구현 난이도: ★★☆☆☆ (재부팅 없이 sysctl 적용 가능)
  • 운영 영향: 다른 필요 모듈 로드가 제한될 수 있어, 영향을 받는 서비스 목록 사전 파악 필요
  • 검증 방법: sysctl kernel.modules_disabled 값 확인 및 신규 modprobe 시도 실패 여부 점검

• 감시 강화: 위 탐지 규칙을 SIEM에 즉시 적용하고, 알림 채널(Slack/Email)로 실시간 전파하도록 설정한다.

  • 구현 난이도: ★★★☆☆ (SIEM 룰 작성 및 테스트)
  • 운영 영향: 오탐 감소를 위한 튜닝 필요, 초기 경보 빈도 상승 가능

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00104 · exploit=hard · in_scope=None