[단독분석] 분석 — CVE-2026-23038

• 심각도 미상 · CVSS 미상 · EPSS 0.00245 · 악용난이도 hard

• 발생 원인: pnfs/flexfiles 모듈의 nfs4_ff_alloc_deviceid_node() 함수 내에서 메모리 할당 로직 결함으로 인해 발생합니다.
• 작동 경로: dsaddrs 리스트가 먼저 할당된 후, 이어서 진행되는 ds_versions 할당이 실패할 경우, 프로그램 제어가 out_scratch 레이블로 점프하며 이미 할당된 dsaddrs 메모리를 해제하지 않고 반환합니다.
• 결과: 취약한 경로가 반복적으로 호출될 경우 커널 메모리가 지속적으로 누수되는 Memory Leak 상태가 됩니다.

악용 가능성: 본 취약점은 Linux kernel의 pnfs/flexfiles 모듈 내 nfs4_ff_alloc_deviceid_node() 함수에서 발생하는 Memory Leak으로, 공격 난이도는 Hard로 평가됩니다. 공격자는 NFSv4.1 이상의 Parallel NFS(pNFS) FlexFiles 기능을 활성화한 시스템에 접근하여 특정 조건의 메모리 할당 실패를 유도해야 하며, 이는 AV:N 또는 AV:A 환경에서도 정교한 트리거가 필요함을 의미합니다. 공격 표면은 pNFS 프로토콜을 통해 노출되는 엔드포인트와 관련 파라미터에 국한되며, 특히 메모리 누수를 지속적으로 유발하여 시스템 가용성을 저하시키는 DoS(Denial of Service) 형태의 악용 가능성이 존재합니다. 다만, KEV 미등재 상태이며 EPSS 수치가 0.00245로 매우 낮다는 점은 실제 야생(In-the-wild)에서의 공격 관측 사례가 거의 없음을 시사합니다. 따라서 이론적인 심각도와 별개로, 특정 네트워크 스토리지 구성 환경이 아니면 트리거하기 어렵기에 실질적인 악용 가능성은 낮은 것으로 분석됩니다.

• 기술적 위험:
  • 추정: 공격자가 의도적으로 메모리 할당 실패를 유도하는 트리거를 생성하여 반복 호출할 경우, 시스템 가용 자원이 고갈되어 커널 패닉(Kernel Panic) 또는 시스템 응답 불능 상태의 서비스 거부(DoS)가 발생할 수 있습니다.
  • 본 취약점은 메모리 누수 문제로, 직접적인 권한 상승이나 데이터 유출보다는 시스템 안정성 저해에 집중됩니다.
• 비즈니스 리스크:
  • 가용성: pNFS(Parallel NFS) 환경을 사용하는 고성능 스토리지 서버의 경우, 예기치 못한 재부팅이나 서비스 중단으로 인한 업무 연속성 저해가 발생할 수 있습니다.
• 노출 규모 및 제품: Linux kernel 내 pnfs/flexfiles 기능을 사용하는 시스템이 대상입니다. 구체적인 영향 버전은 명시되지 않았으나 해당 함수가 포함된 커널 버전이 대상입니다.

• 유형: Memory Management Error (CWE-401: Missing Release of Resource after Effective Lifetime).
• 체이닝 가능성: 단독으로는 시스템 중단(DoS)에 그치나, 다른 커널 메모리 관리 취약점과 결합하여 힙 레이아웃을 조작하는 용도로 활용될 가능성이 추정됩니다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 NFS4 관련 할당 실패 메시지나 메모리 부족(OOM Killer) 작동 징후를 확인합니다.
• 메모리 추적: slabtop 또는 kmalloc 관련 통계를 통해 pnfs 관련 슬랩 캐시의 사용량이 비정상적으로 증가하는 패턴을 분석합니다.

• 근본 해결: 해당 취약점이 수정된 최신 Linux 커널 버전으로 업데이트하여, 할당 실패 시 out_err_drain_dsaddrs 레이블로 점프해 메모리를 정상 해제하도록 패치를 적용합니다.
• 즉시 조치 및 우선순위:
  • 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값이 0.00245(백분위 0.15881)로 매우 낮게 측정되었습니다.
  • 또한 KEV 미등재 및 exploit 등급이 'hard'인 점을 근거로 규칙 기반 우선순위를 monitor로 결정하였습니다. 따라서 즉각적인 긴급 패치보다는 정기 업데이트 주기 내 반영 및 시스템 리소스 모니터링을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00245 · exploit=hard · in_scope=None