[단독분석] 분석 — CVE-2025-21702

• 심각도 high · CVSS 7.8 · EPSS 0.00267 · 악용난이도 hard

• 로컬 권한을 가진 프로세스가 sch->limit 값을 0으로 설정한 상태에서 pfifo_tail_enqueue() 함수를 호출한다.
• 이때 기존 패킷이 없으면 “drop” 단계가 수행되지 않아 qdisc의 qlen 값은 그대로 0이다.
• 이후 새로운 패킷을 enqueue하면서 qlen 이 1 증가하고, 함수는 NET_XMIT_CN 상태 코드를 반환한다.
• 공격자는 이 동작을 반복해 qdisc · scheduler 의 내부 카운터를 인위적으로 늘릴 수 있으며, 이후 커널 로직이 잘못된 qlen 값을 신뢰하게 만들어 서비스 거부(DoS) 혹은 메모리 손상을 통한 권한 상승으로 이어질 가능성이 있다.

악용 가능성: AV:L(로컬) 벡터에 따라 공격자는 대상 시스템에 로컬 계정이 존재해야 하며, 이는 원격에서 바로 이용할 수 없음을 의미합니다.
AC:L(낮은 복잡도)으로 평가된 만큼, 로컬 권한을 확보하면 pfifo_tail_enqueue 함수를 호출해 스케줄러의 limit 값을 0으로 설정하고 빈 큐에 패킷을 삽입하는 동작만 수행하면 됩니다.
PR:L(낮은 권한) 요구사항은 일반 사용자 수준에서도 qdisc 설정 인터페이스(netlink 또는 tc 명령)를 통해 sch->limit 을 조정할 수 있음을 나타내며, 특별한 관리자 권한이 반드시 필요하지 않습니다.
UI:N(사용자 상호작용 없음)은 공격 조건이 충족되면 추가적인 사용자 입력 없이 자동으로 악용이 진행될 수 있음을 의미합니다.
EPSS = 0.00267이라는 실측값과 KEV에 등재되지 않은 점은 현재

• 기술적 위험
  • qdisc · scheduler 의 상태 불일치로 인해 패킷 처리 경로가 비정상적으로 동작, 결과적으로 네트워크 서비스 중단(DoS)이나 메모리 손상을 초래할 수 있음.
  • qlen 값이 조작되면 커널 내부에서 버퍼 오버플로우나 잘못된 포인터 연산으로 이어질 가능성이 있어, 최악의 경우 로컬 권한 상승(LPE)으로 시스템 전체 장악이 가능함(​CVSS C:H I:H A:H).
• 비즈니스 리스크
  • 가용성: 네트워크 인프라·클라우드 서비스가 Linux 커널에 의존하는 경우, 공격 성공 시 트래픽 처리 지연·정지로 서비스 수준 협약(SLA) 위반 위험.
  • 규제/컴플라이언스: 금융·헬스케어 등 민감 데이터 처리를 위한 시스템이 영향을 받으면 보안 인증(예: PCI‑DSS, HIPAA) 유지에 차질이 발생할 수 있음.
• 영향 제품·노출 규모
  • linux_kernel 2.6.34 ~ 5.4.291, 5.5 ~ 5.10.235, 5.11 ~ 5.15.179, 5.16 ~ 6.1.130, 6.2 ~ 6.6.83, 6.7 ~ 6.12.14, 6.13 ~ 6.13.3 전 버전이 모두 대상([교차검증] 다중 소스에서 일관성이 확인됐다).
  • 이 범위는 주요 배포판(예: Ubuntu 18.04‑22.04, Debian 10‑12, RHEL 7‑9 등) 및 다양한 임베디드·IoT 디바이스에 광범위하게 포함됨.

• 추정: 동일 qdisc · scheduler 구조를 이용한 과거 커널 결함(CVE‑2023‑xxxx 등)과 연계될 경우, 조작된 qlen 값을 기반으로 메모리 쓰기 권한을 확대하는 공격 체인이 가능할 수 있음.

• /proc/net/dev 혹은 tc -s qdisc show 명령에서 예상치보다 급격히 증가한 qlen 값이 관찰될 경우.
• 커널 로그(dmesg)에 pfifo_tail_enqueue: returned NET_XMIT_CN with sch->limit == 0 와 유사한 메시지가 반복적으로 기록되는지 모니터링.
• 감사 시스템(eBPF, auditd)에서 sched_process_exit와 연계된 netdev_queue_update 이벤트가 비정상적인 빈도로 발생하는지를 탐지.

1. 패치 적용 – 상위 커널 소스에 포함된 CVE-2025-21702 수정 패치를 모든 영향을 받는 버전(2.6.34 ~ 6.13.3)으로 즉시 배포하고, 배포판 업데이트를 통해 적용한다.
2. 구성 제한 – sch->limit 값을 0으로 설정할 수 있는 qdisc(pfifo_head_drop/pfifo_tail_enqueue) 사용을 금지하거나, 해당 qdisc 대신 pfifo_fast·fq_codel 등 검증된 스케줄러로 교체한다.
3. 권한 최소화 – 로컬 권한이 높은 프로세스(특히 root)가 직접 네트워크 큐를 조작하지 못하도록 SELinux/AppArmor 정책을 강화하고, 불필요한 CAP_NET_ADMIN 권한을 제거한다.
4. 모니터링 강화 – 위 “탐지” 항목에 기술된 지표를 실시간 로그 수집·분석 파이프라인에 추가하여 조기 경보 체계를 구축한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00267 · exploit=hard · in_scope=None