[공격] 분석 — CVE-2026-23463

• 심각도 medium · CVSS 4.7 · EPSS 0.00094 · 악용난이도 hard

본 취약점은 fsl (Freescale/NXP) SoC의 qbman 드라이버 내에서 qman_destroy_fq와 qman_create_fq 간의 Race Condition으로 인해 발생한다.

• 공격 표면 및 트리거: QMAN_FQ_FLAG_DYNAMIC_FQID가 설정된 환경에서 Dynamic FQID 할당/해제 로직이 공격 표면이다. 공격자는 다중 스레드 환경에서 FQ(Free Queue)의 생성과 파괴를 매우 빠른 속도로 반복하여 타이밍 윈도우를 확보해야 한다.
• 공격 경로 및 단계:
  1. 초기 접근: 로컬 권한(PR:L)을 가진 공격자가 커널 드라이버와 상호작용할 수 있는 인터페이스(추정: ioctl 또는 특정 네트워크 설정 API)에 접근한다.
  2. 경쟁 상태 유도 (Race Condition):
     • Thread A: qman_destroy_fq() 호출 $\rightarrow$ gen_pool_free()를 통해 FQID 반환.
     • Thread B: Thread A가 fq_table[fq->idx] = NULL을 수행하기 전, qman_create_fq()를 호출하여 방금 해제된 동일한 FQID를 할당받음.
  3. 결함 발생: Thread B가 WARN_ON(fq_table[fq->idx]) 지점에 도달했을 때, 아직 Thread A가 해당 인덱스를 NULL로 밀어버리기 전이므로 커널 경고 또는 패닉이 발생한다.
• 공격 조건 (CVSS 벡터 연결):
  • AV:L: 로컬 접근 필수.
  • AC:H: 정확한 타이밍에 두 스레드를 충돌시켜야 하므로 공격 난이도가 높다.
  • PR:L: 낮은 권한의 사용자라도 드라이버 인터페이스 접근이 가능하다면 트리거 가능.

악용 가능성: 본 취약점은 Linux kernel의 fsl qbman 드라이버 내 qman_destroy_fq와 qman_create_fq 함수 간의 Race Condition으로 인해 발생하며, 공격 난이도는 매우 높습니다(Hard). AV:L 및 PR:L 벡터가 시사하듯, 공격자는 이미 시스템에 낮은 권한의 로컬 계정으로 접근하여 커널 드라이버와 상호작용할 수 있는 상태여야 합니다. 특히 AC:H 등급은 특정 타이밍에 fqid의 할당과 해제가 정밀하게 맞물려야 하는 Race Condition의 특성상, 단순 호출만으로는 트리거가 어렵고 매우 정교한 타이밍 제어가 필요함을 의미합니다. EPSS 수치가 0.00094로 극히 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 패닉이나 메모리 오염 가능성에도 불구하고 실제 야생(In-the-wild)에서 성공적으로 악용된 사례가 거의 없음을 뒷받침합니다. 공격 표면은 qbman 드라이버의 FQ(Free Queue) 생성 및 삭제와 관련된 시스템 콜 인터페이스로 제한되며, QMAN_FQ_FLAG_DYNAMIC_FQID 플래그가 설정된 환경에서만 유효합니다. 결과적으로 이 취약점은 단독으로 권한 상승을 이루기보다, 커널 메모리 상태를 불안정하게 만들어 다른 메모리 손상 취약점과 체이닝하여 공격 성공률을 높이는 보조 수단으로 활용될 가능성이 큽니다.

• 가용성 파괴 (DoS): 커널 내 WARN_ON 트리거 및 Race Condition으로 인한 커널 패닉(Kernel Panic) 발생 시 시스템 전체가 중단된다. 특히 QMan을 데이터 플레인 트래픽 처리에 사용하는 통신 장비의 경우 서비스 전체 가용성이 상실된다.
• 메모리 오염: 추정: fq_table 내의 포인터 불일치 상태에서 메모리 쓰기가 발생할 경우, 커널 힙 영역의 Memory Corruption으로 이어질 가능성이 있다.

단순 DoS를 넘어 권한 상승이나 RCE로 가기 위한 체이닝 경로는 다음과 같다:

• UAF (Use-After-Free) 체이닝: fq_table의 상태 불일치를 이용해 이미 해제된 메모리 영역에 접근하거나 잘못된 객체를 참조하게 만드는 UAF 패턴으로 확장될 수 있다.
• 권한 상승 경로 (추정): [정보 노출 $\rightarrow$ 커널 주소 예측 $\rightarrow$ Race Condition을 통한 함수 포인터 덮어쓰기 $\rightarrow$ 권한 상승] 순의 체이닝이 가능하다. 특히 QMan 드라이버가 데이터 플레인을 직접 제어하므로, 하드웨어 가속 영역의 메모리 조작과 결합될 경우 방어 우회가 용이해질 수 있다.
• 데이터 플레인 조작: 커널 레벨에서 트래픽 스케줄링을 담당하는 드라이버 특성상, 특정 큐(Queue)를 점유하거나 조작함으로써 네트워크 패킷의 흐름을 제어하는 공격으로 이어질 수 있다.

• 커널 로그 모니터링: dmesg 또는 /var/log/kern.log에서 qman_create_fq 함수 내의 WARN_ON 관련 메시지 및 Stack Trace를 집중 모니터링한다.
• 비정상 패턴: 짧은 시간 내에 동일한 FQID가 반복적으로 할당 및 해제되는 로그 패턴을 탐지한다.

• 근본 해결: 영향받는 커널 버전(4.9 ~ 6.19.10 등)에 대해 최신 보안 패치를 적용하여 fq_table[fq->idx]를 NULL로 설정하는 시점을 할당/해제 로직 이전으로 조정한다.
• 즉시 조치: 패치가 불가능한 경우, 해당 드라이버(qbman)의 모듈 언로드 또는 Dynamic FQID 할당 옵션 비활성화를 검토하되, 이는 서비스 가용성에 영향을 주므로 운영 환경 영향 평가가 선행되어야 한다.
• 분석 근거: 본 리포트는 다중 소스 교차검증을 통해 일관성이 확인되었으며, EPSS 0.00094(낮은 실측 악용률)와 CVSS 4.7 및 AV:L/AC:H 조건을 근거로 우선순위를 monitor로 결정하였다. 다만 데이터 플레인 장비의 경우 치명적이므로 패치를 최우선 권고한다.

• 조치: monitor (모니터링)
• 근거: CVSS=4.7 · non-KEV · EPSS=0.00094 · exploit=hard · in_scope=None