[분석가] 분석 — CVE-2025-68816

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

펌웨어가 NIC에 전달하는 포맷 문자열을 검증하지 않아, 악의적이거나 손상된 펌웨어가 %s, %p, %n 등 위험한 형식 지정자를 포함한 문자열을 제공하면 커널 내부 printf‑계열 함수에서 처리되어 커널 패닉 또는 메모리 오염이 발생합니다. 공격자는 해당 NIC의 펌웨어 이미지를 변조하거나 신뢰할 수 없는 펌웨어를 로드해야 하며, 네트워크를 통한 원격 접근은 필요하지 않습니다.

악용 가능성: 이 취약점은 AV = Physical(또는 Adjacent Network) 이며, 공격자는 해당 Mellanox NIC의 펌웨어를 조작할 수 있어야 합니다. AC = Low 로, 악성 펌웨어가 한 번 로드되면 별도의 추가 조건 없이 형식 문자열을 전송해 코어 드라이버를 오동작시킬 수 있습니다. PR = None 이며, 공격자는 특권이 필요 없으며, UI = None 이므로 사용자 개입도 요구되지 않습니다. EPSS = 0.00177(≈0.18 %)이라는 실측값은 현재까지 실제 악용

• 기술적 위험: 검증되지 않은 포맷 문자열이 커널 레벨에서 사용될 경우 커널 크래시와 메모리 손상이 발생하여 시스템 가용성이 일시적으로 중단됩니다. 현재 보고된 바에 따르면 원격 코드 실행이나 데이터 유출은 직접 연결되지 않으며, 추가적인 권한 상승 취약점과 결합될 경우 특권 획득 가능성도 존재합니다.
• 비즈니스 영향: 서비스 중단으로 인한 가용성 저하가 주요 리스크이며, 특히 고가용성을 요구하는 클라우드·데이터센터 환경에서 SLA 위반 위험이 있습니다. 시스템 안정성 유지 의무에 따라 보안 패치 적용이 권고됩니다.
• 영향 제품·노출 규모: Linux 커널의 net/mlx5 드라이버를 포함하는 모든 배포판 및 Mellanox(NVIDIA) ConnectX‑5/6 시리즈 NIC가 영향을 받습니다. 다중 소스에서 일관성이 확인되었으며([교차검증] 신뢰도 1.0), 현재까지 실제 악용 사례는 보고되지 않았습니다.

• CWE‑134(불안전한 포맷 문자열)와 유사한 위험 패턴을 가집니다.
• 추정: 공격자는 이 취약점을 이용해 커널 크래시를 일으킨 뒤, 동일 시스템에 존재하는 다른 로컬 권한 상승 취약점과 연계하여 특권을 획득할 가능성이 있습니다.

• dmesg·/var/log/kern.log 등에 “BAD_FORMAT:” 접두사가 포함된 메시지가 기록되는 경우.
• auditd 또는 eBPF 기반 트레이스에서 mlx5_tracer_validate_params 함수가 오류 코드를 반환한 로그를 확인합니다.
• 커널 패닉·재부팅 이벤트와 동시에 위 메시지가 동시 발생하면 의심 신호로 활용합니다.

1. 패치 적용: 최신 Linux 커널(또는 해당 패치를 backport)으로 업데이트하여 mlx5_tracer_validate_params() 검증 로직을 포함시킵니다.
2. 임시 방어: 패치 적용이 어려운 경우, modprobe mlx5_core 시 모듈 파라미터 disable_fw_tracer=1(또는 disable_fw_tracer=1)을 지정해 펌웨어 트레이서 기능을 비활성화합니다.
3. 로그 모니터링: 실시간으로 “BAD_FORMAT:” 로그를 감시하고, 발생 시 해당 NIC 펌웨어 버전을 검증·업데이트합니다.
4. 펌웨어 무결성 확인: 공급망 단계에서 서명된 공식 펌웨어만 사용하도록 정책을 강화합니다.

우선순위: EPSS 0.00177(백분위 0.07458)과 “exploit=hard”, CVSS·KEV 정보가 미상인 점을 고려하여 현재는 monitor 수준으로 분류됩니다. 패치 적용 및 로그 감시를 통해 위험도를 낮출 수 있습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None