[방어] 분석 — CVE-2026-23087

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

본 취약점은 scsiback_probe()에서 할당된 struct vscsiblk_info 메모리가 scsiback_remove() 과정 및 특정 에러 경로에서 적절히 해제되지 않아 발생하는 Memory Leak입니다.

• 경로: Local User $\rightarrow$ Xen SCSI Backend 장치 조작/제거 반복 $\rightarrow$ 커널 메모리 고갈.
• 단계: 권한을 가진 로컬 사용자가 scsiback 관련 인터페이스를 통해 장치를 빈번하게 생성 및 제거함으로써 시스템 가용 자원을 점진적으로 소모시킵니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템 내부에 낮은 권한(Low Privilege)의 계정을 확보하여 로컬 쉘에 접근할 수 있는 전제조건이 필요합니다. 공격 표면은 Linux Kernel의 Xen 하이퍼바이저 환경에서 SCSI 백엔드 드라이버(scsiback)의 프로브 및 제거 과정(scsiback_probe, scsiback_remove)으로 한정됩니다. 트리거 조건 또한 특정 장치의 제거 또는 초기화 실패 시 발생하는 메모리 누수(Memory Leak) 형태이므로, 즉각적인 RCE나 권한 상승보다는 가용성 저해(DoS) 관점의 위협에 가깝습니다. EPSS 수치가 0.00123으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않은 점은 이론적 심각도와 달리 실제 야생(Wild)에서 악용된 사례가 거의 없음을 시사합니다. 결과적으로 로컬 접근 권한과 Xen 환경이라는 특수한 제약 조건이 맞물려 있어, 일반적인 서버 환경에서의 실질적인 악용 가능성은 희박합니다.

• 가용성 저하(DoS): 지속적인 메모리 누수로 인해 커널 슬랩(Slab) 메모리가 고갈되며, 최종적으로 OOM(Out Of Memory) Killer가 작동하여 주요 프로세스가 강제 종료되거나 시스템 전체가 커널 패닉(Kernel Panic) 상태에 빠질 수 있습니다.
• 영향 범위: 다중 소스 데이터 일관성이 확인된 결과, Linux Kernel 3.18부터 6.18.8까지 매우 광범위한 버전이 영향을 받으므로 인프라 전반의 커널 버전을 전수 조사해야 합니다.

• 유형: Resource Exhaustion (CWE-400).
• 체이닝 가능성: 단독으로는 권한 상승이나 정보 유출이 불가능하나, 다른 Local Privilege Escalation(LPE) 취약점과 체이닝하여 시스템 불안정성을 유도하거나 특정 보안 모니터링 프로세스를 OOM으로 종료시켜 탐지를 회피하는 용도로 활용될 수 있습니다.

본 취약점은 정적 페이로드가 아닌 자원 소모 패턴을 분석해야 합니다.

• 로그 지표:

  • /var/log/syslog 또는 dmesg: out of memory, Killed process, scsiback 관련 에러 메시지 확인.
  • Slab Top: vscsiblk_info (추정) 관련 슬랩 캐시의 사용량이 비정상적으로 증가하고 해제되지 않는 패턴.

• 탐지 규칙 예시:

  1. SIEM 쿼리 (메모리 급증 및 OOM 탐지):
     SELECT host, timestamp FROM kernel_logs WHERE message LIKE '%out of memory%' OR message LIKE '%OOM-killer%' GROUP BY host HAVING count(*) > [임계값] WITHIN 1h
  2. 의사코드 (Slab Memory 모니터링):
     IF (current_slab_usage('vscsiblk_info') > baseline * 2) AND (device_remove_events_count > threshold) THEN ALERT("Potential CVE-2026-23087 Exploitation");
  3. 정규식 (dmesg 패턴): /(?i)(scsiback_probe|scsiback_remove).*error/

• 오탐 튜닝:

  • Xen 환경에서 정상적인 가상 디스크 동적 할당/해제가 빈번한 운영 환경인 경우 오탐이 발생할 수 있습니다. 베이스라인을 설정하여 평시 대비 급격한 증가분(Spike)만 탐지하도록 임계값을 조정하십시오.

본 건은 EPSS 0.00123으로 실제 악용 예측치가 매우 낮고, 공격 난이도가 Hard이며 KEV에 등재되지 않은 점을 근거로 우선순위를 monitor로 결정하였습니다.

• 즉시 (긴급 차단):

  • 조치: Xen SCSI Backend(scsiback) 기능을 사용하지 않는 서버의 경우 관련 커널 모듈 로드 차단 (modprobe -r 또는 /etc/modprobe.d/에 blacklist 추가).
  • 난이도: 낮음 / 운영 영향: 해당 기능 미사용 시 없음, 사용 시 디스크 I/O 불가 / 검증: lsmod | grep scsiback 결과 확인.

• 단기 (완화):

  • 조치: 커널 메모리 모니터링 강화 및 OOM Killer 설정 최적화를 통해 시스템 전체 붕괴 전 조기 경보 체계 구축.
  • 난이도: 중간 / 운영 영향: 낮음 (모니터링 부하 소량 발생) / 검증: Alerting 대시보드 작동 확인.

• 근본 (해결):

  • 조치: 각 배포판별 최신 보안 패치가 적용된 커널 버전으로 업데이트 및 리부팅.
  • 난이도: 중간 / 운영 영향: 높음 (리부팅 필요로 인한 서비스 중단 발생) / 검증: uname -r을 통해 수정 버전 반영 확인.

잔여 리스크: 패치 이후에도 커널 내 다른 유사한 메모리 관리 로직에서 미처 발견되지 않은 Leak이 존재할 가능성이 있습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None