[분석가] 분석 — CVE-2026-31485

• 심각도 high · CVSS 7.8 · EPSS 0.00131 · 악용난이도 hard

• 로컬 사용자가 /dev/spi* 혹은 spidev 인터페이스에 대한 ioctl 호출로 DMA 전송을 시작합니다.
• 동시에 드라이버가 fsl_lpspi_remove() 를 통해 해제되는 상황에서, DMA 채널이 먼저 해제되고 컨트롤러는 아직 등록된 상태로 남아 있습니다.
• 이때 fsl_lpspi_dma_transfer 가 NULL 포인터를 역참조하면서 커널 OOPS가 발생합니다.
• 공격자는 악의적인 SPI 전송을 조작하거나, 이미 로드된 모듈을 강제로 제거하도록 트리거함으로써 해당 경로를 이용할 수 있습니다.

악용 가능성: AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 개입 없음) 벡터에 따라, 공격자는 물리적 접근이 가능한 시스템에서 루트 권한 없이도 해당 SPI 컨트롤러를 언로드하도록 트리거할 수 있는 조건만 충족하면 됩니다. 실제로는 fsl_lpspi_remove()가 DMA 채널을 해제하는 시점에 진행 중인 SPI 전송이 발생해야 하며, 이는 드라이버가 로드된 커널 환경에서 장치 제거 혹은 모듈 언로드 요청을 통해 유도할 수 있습니다. 이러한 트리거 조건은 일반 사용자 수준에서는 재현하기 어려워 “hard” 난이도로 평가되었지만, 로컬 권한이 제한적인 공격자라도 특수한 시나리오(예: 악성 커널 모듈 삽입 또는 장치 플러그인/언플러그)만 확보하면 가능하므로 완전히 배제할 수는 없습니다. EPSS = 0.00131이라는 매우 낮은 실측 확률과 KEV에 등재되지 않은 점은 현재까지 실제 악용 사례가 거의 관찰되지 않았음을 의미합니다. 공격 표면은 Linux 커널의 spi‑fsl‑lpspi 드라이버가 포함된 모든 시스템이며, 해당 SPI 컨트롤러를 사용하는 임베디드 보드나 산업용 장비가 주 대상이 됩니다. 따라서 위험성은 제한적이지만, 로컬 권한을 확보할 수 있는 환경에서는 여전히 고려해야 할 취약점으로 판단됩니다.

• 영향 제품: Linux kernel 4.10.1‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.168, 6.2‑6.6.131, 6.7‑6.12.80, 6.13‑6.18.21, 6.19‑6.19.11 전 버전(다양한 배포판·임베디드·IoT 포함)
• 기술적 위험:
  • NULL 포인터 역참조에 의해 커널 패닉이 발생 → 서비스 중단 (Availability High).
  • 메모리‑코루전 특성상 성공적인 이용 시 임의 코드 실행 및 루트 권한 획득 가능 (Confidentiality·Integrity High).
• 비즈니스 리스크:
  • 가용성 손실로 인한 SLA 위반, 생산 라인·서비스 중단 위험.
  • 규제 산업(예: 의료·금융)에서는 커널 취약점이 존재하는 시스템 운영 자체가 컴플라이언스 위반으로 이어질 수 있음.
• 악용 가능성: EPSS 0.00131(백분위 0.03124)은 현재 관측된 실제 악용 사례가 거의 없음을 의미하지만, 로컬 권한이 필요한 점과 높은 CVSS 7.8을 고려하면 조기 대응이 요구됩니다.
• 우선순위: 다중 소스 교차검증 결과 일관되게 고위험(High)으로 확인됐으며, 규칙 기반 우선순위 판단에서 “CVSS ≥ 7·non‑KEV·EPSS ≤ 0.01·exploit hard”에 해당해 이번 주 내 패치 적용이 권고됩니다.

• 동일 SPI 드라이버군에서 보고된 다른 UAF/데이터 레이스(CWE‑416)와 결합하면, 공격자는 먼저 권한 상승을 수행하고 이후 파일 시스템 접근 등으로 횡적 이동할 수 있습니다.
• 커널 DMA 채널 관리 오류가 있는 다른 디바이스 드라이버(CVE‑2025‑xxxx 등)와 연계될 경우 메모리 오염 범위가 확대될 가능성이 존재합니다.

• dmesg·kernel.log에 “Unable to handle kernel NULL pointer dereference at virtual address 0x00000000” 과 함께 fsl_lpspi_dma_transfer 호출 스택이 기록되는 경우.
• auditd 규칙 예: auditctl -a always,exit -F arch=b64 -S ioctl -F dir=> /dev/spi* -k spi_fsl_lpspi_ioctl 로 비루트 UID 의 비정상적인 ioctl 호출을 감시.
• 시스템 모니터링 툴에서 커널 OOPS/ panic 이벤트가 발생하면 즉시 알림.

1. 즉시 조치

   • spi-fsl-lpspi 모듈 로드 차단(예: /etc/modprobe.d/blacklist.conf에 blacklist spi_fsl_lpspi 추가).
   • /dev/spi*, /dev/fsl_lpspi 디바이스 노드의 권한을 제한하고 CAP_SYS_RAWIO 보유 그룹을 최소화.
   • auditd 로 해당 장치에 대한 ioctl 접근 로그를 수집·경보 설정.

2. 근본 해결

   • 공급업체가 제공하는 커널 업데이트(드라이버에서 devm_spi_register_controller() → spi_register_controller(), spi_unregister_controller() 추가) 또는 패치를 적용하고 시스템을 재부팅.
   • 장기적으로는 최신 LTS 커널 버전으로 마이그레이션하여 해당 취약점이 포함되지 않은 스택을 유지.

3. 추가 검증

   • 업데이트 후 modinfo spi_fsl_lpspi 로 모듈 버전을 확인하고, 정상 동작 여부를 테스트 환경에서 검증.
   • 지속적인 로그 분석으로 재발 방지 및 침해 징후 탐지를 강화.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00131 · exploit=hard · in_scope=None