[분석가] 분석 — CVE-2024-47809

• 심각도 medium · CVSS 5.5 · EPSS 0.00219 · 악용난이도 hard

DLM 모듈이 컴파일된 커널에서 로컬 프로세스가 request_lock()을 호출할 때, 아직 lkb->lkb_resource가 초기화되지 않은 새 LKB 객체를 사용하면 NULL 포인터 역참조가 발생한다. 이 경로는 DLM 기능이 활성화된 환경에서만 노출되며, 특수한 사전 조건 없이 로컬 접근 권한(Low)만 있으면 트리거될 수 있다(AV:L/AC:L/PR:L/UI:N).

악용 가능성: 이 취약점은 AV:L (로컬) · AC:L (낮은 복잡도) · PR:L (낮은 권한) · UI:N 조건을 만족하므로, 로컬 계정만 있으면 비교적 간단히 트리거할 수 있습니다. 실제 공격자는 DLM(Distrubuted Lock Manager) 모듈에서 새로 생성된 lkb 객체가 아직 resource 필드를 할당받지 않은 시점에 request_lock() 을 호출하도록 조작해야 하며, 이는 특수한 시스템 콜이나 커널 내부 API를 이용해 가능할 수 있습니다. 공격 표면은 Linux kernel dlm 드라이버의 request_lock(), attach_lkb() 등 함수가 노출되는 엔드포인트이며, 해당 모듈이 로드된 모든 시스템이 대상이 됩니다. EPSS = 0.00219이라는 매우 낮은 실측값과 KEV에 등재되지 않은 점은 현재까지 실제 악용 사례가 거의 없음을 의미하지만, 이론적으로는 로컬 권한 상승을 일으킬 수 있는 위험이 존재합니다. 따라서 난이도는 “hard”로 평가되며, 공격자는 로컬 접근 권한만 있으면 충분히 재현 가능한 null‑pointer Dereference를 유발할 가능성이 있습니다. 다만, 정상적인 DLM 사용 환경에서는 로그 기능이 비활성화돼 있어 해당 경로가 흔히 호출되지 않을 확률이 높습니다.

• 기술적 위험: NULL 포인터 역참조에 의해 커널 패닉(OOPS)이 발생하고, 이는 시스템 재부팅을 초래해 서비스 가용성을 중단한다. CVSS 벡터의 C와 I는 각각 N이며 A는 H이므로 직접적인 데이터 유출·권한 상승은 보고되지 않았다.
• 비즈니스 리스크:
  • 가용성 손실에 따른 SLA 위반 및 복구 비용 증가.
  • 특히 컨테이너 호스트, 클라우드 VM 등 핵심 인프라에서 커널 패닉이 발생하면 서비스 연속성이 크게 저하될 위험.
• 영향 제품·노출 규모: linux_kernel < 6.6.66 및 linux_kernel 6.7‑6.12.5 버전을 사용하는 모든 Linux 시스템이 대상이며, 특히 DLM(Distributed Lock Manager) 기능을 사용하거나 CONFIG_DLM 옵션으로 빌드된 배포판에서 위험도가 높다. (다중 소스에서 일관성이 확인됐다)

현재 알려진 직접적인 체이닝 CVE는 없으며, 이 취약점 자체가 단일 단계의 커널 OOPS를 유발한다. 다른 메모리 손상 취약점과 결합될 경우 추가 위험이 발생할 가능성은 있으나 구체적인 연계 사례는 확인되지 않았다.

• 커널 로그: BUG: unable to handle kernel NULL pointer dereference 혹은 Oops: 0000 [#1] PREEMPT SMP 메시지에 dlm·lkb_resource 관련 문자열이 포함될 경우 경보.
• auditd: type=1400 syscall=... comm="request_lock" 와 함께 OOPS 이벤트가 기록되면 탐지 가능.
• 시그니처 예시 (간략)
  text복사

   1msg:"Linux kernel null pointer dereference in dlm_request_lock"
   2content:"lkb_resource"

1. 패치 적용: linux‑kernel >=6.6.66 또는 >=6.7.0‑6.12.5 버전으로 업데이트하여 커밋 “dlm: fix possible lkb_resource null dereference” 포함 패치를 배포한다.
2. 임시 방어: DLM 기능이 필요하지 않은 경우 모듈을 비활성화(modprobe -r dlm)하거나 CONFIG_DLM 옵션을 제외한 커널으로 전환한다.
3. 모니터링 강화: 커널 OOPS 및 audit 로그에 대한 실시간 알림을 설정하고, 발생 시 자동 재부팅 혹은 복구 절차를 실행하도록 운영 정책을 마련한다.
4. 우선순위 판단 근거: CVSS 5.5·EPSS 0.00219·KEV 미등재·exploit hard·in_scope None → 규칙 기반으로 “monitor”가 권고되었으나, 시스템 가용성 위험을 최소화하기 위해 패치 적용이 최우선이며, 이후 로그 기반 모니터링을 병행한다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00219 · exploit=hard · in_scope=None