[분석가] 분석 — CVE-2025-21926

• 심각도 medium · CVSS 5.5 · EPSS 0.00206 · 악용난이도 hard

(1) 트리거 조건: Linux 커널의 UDP GSO(__udp_gso_segment) 처리 과정에서 skb destructor는 제거되지만 socket reference가 그대로 유지되는 결함이 존재합니다. 이후 해당 skb가 orphan 상태가 되어 skb_orphan 함수를 호출할 때 커널 BUG(Panic)가 발생합니다.
(2) 공격 단계:

• 전제조건: 대상 시스템이 OpenVSwitch(OVS)를 사용하며, 특정 액션 시퀀스가 실행되어야 함.
• 초기접근 및 실행: OVS_ACTION_ATTR_USERSPACE 액션이 먼저 처리되어 __udp_gso_segment를 통해 destructor가 제거된 skb 생성 $\rightarrow$ 이후 동일한 original skb가 OVS_ACTION_ATTR_OUTPUT 액션을 통해 전송 경로로 진입 $\rightarrow$ 네트워크 스택 내에서 skb_orphan 호출.
• 영향: 커널 패닉으로 인한 시스템 즉시 중단(DoS).
  (3) 공격 표면: Linux Kernel Network Stack, 구체적으로 OpenVSwitch를 통한 UDP GSO 패킷 처리 경로.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 권한을 가진 사용자가 특정 네트워크 트래픽 흐름을 유도해야 함.
• AC:L (Low): 트리거 조건 충족 시 복잡한 우회 기법 없이 발생.
• PR:L (Low): 낮은 수준의 권한이 필요함.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux kernel의 __udp_gso_segment 함수 내에서 skb 소유권 관리 오류로 인해 발생하는 커널 패닉(Kernel BUG)으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 시스템에 이미 낮은 권한의 계정으로 접근하여 로컬 환경에서 실행 권한을 확보해야 합니다. 공격 표면은 UDP GSO(Generic Segmentation Offload) 처리 과정과 OpenVSwitch(OVS)의 특정 액션 시퀀스(OVS_ACTION_ATTR_USERSPACE 후 OVS_ACTION_ATTR_OUTPUT)가 결합된 네트워크 스택 내부 엔드포인트에 국한됩니다. EPSS 수치가 0.00206으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 심각성과 달리 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 따라서 특정 네트워크 가상화 환경과 정교한 패킷 트리거 조건이 일치해야 하므로, 일반적인 외부 공격보다는 특수한 환경에서의 서비스 거부(DoS) 유발 가능성이 더 높습니다. 결과적으로 제한적인 공격 표면과 까다로운 실행 전제조건으로 인해 실질적인 악용 가능성은 낮은 것으로 분석됩니다.

(1) 기술적 위험: 커널 패닉(kernel BUG at ./include/linux/skbuff.h)으로 인한 시스템 가용성 완전 상실(Denial of Service). 메모리 오염을 통한 임의 코드 실행 가능성은 제공된 사실만으로는 확인되지 않으며, 서비스 중단이 주된 위험입니다.
(2) 비즈니스 영향: OpenVSwitch를 사용하는 가상화 환경이나 클라우드 인프라에서 호스트 OS가 다운될 경우, 해당 호스트 위에서 동작하는 모든 VM/컨테이너의 서비스가 동시에 중단되는 대규모 가용성 장애로 이어질 수 있습니다.

• 추정: 본 취약점은 단독으로 시스템 중단을 일으키는 DoS 유형입니다.
• 추정: 권한 상승(LPE)이나 원격 코드 실행(RCE)으로 이어지기 위해서는 메모리 손상 부위를 정밀하게 제어할 수 있는 다른 커널 취약점과의 체이닝이 필요하겠으나, 현재로서는 단순 Panic 유발 패턴에 가깝습니다.

(1) 로그 지표: 커널 링 버퍼(dmesg) 및 /var/log/syslog 또는 kern.log에서 kernel BUG at ./include/linux/skbuff.h 메시지와 함께 ip_rcv_core $\rightarrow$ ip_rcv $\rightarrow$ __netif_receive_skb_one_core 순의 Call Trace 확인.
(2) 탐지 규칙 예시:

• 로직: dmesg 로그 내에서 특정 함수 호출 스택 패턴 매칭
• 패턴: (kernel BUG at .*skbuff\.h.*)(.*ip_rcv_core.*)(.*__udp_gso_segment) (정규식)
• SIEM 쿼리 예시: index=linux_logs message="*kernel BUG*" AND message="*skb_orphan*" AND message="*ip_rcv_core*"
  (3) 오탐 시나리오 및 튜닝: 일반적인 네트워크 드라이버 오류로 인한 Panic과 구분하기 위해 반드시 Call Trace 내에 ip_rcv_core와 skbuff.h 관련 BUG 메시지가 동시에 존재하는지 확인하여 튜닝합니다.

• 즉시(긴급 차단): OpenVSwitch 설정에서 OVS_ACTION_ATTR_USERSPACE와 OVS_ACTION_ATTR_OUTPUT이 연속적으로 발생하는 특정 트래픽 패턴을 식별하여 ACL로 차단하거나 해당 기능을 일시 제한합니다. (난이도: 중 / 영향: 서비스 기능 일부 제한 가능성 / 검증: 패킷 캡처 및 흐름 분석)
• 단기(완화): 커널 패닉 발생 시 자동 재부팅(kernel.panic sysctl 설정)을 활성화하여 다운타임을 최소화하고, 시스템 모니터링 도구를 통해 skb_orphan 관련 로그를 실시간 감시합니다. (난이도: 하 / 영향: 가용성 일시 회복 / 검증: sysctl -a 확인)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업데이트합니다.
  • 대상 범위: Linux Kernel 4.18 ~ 6.13 등 영향 받는 각 메이저 버전의 최신 패치 릴리즈 적용. (난이도: 중 / 영향: 재부팅 필요 및 커널 호환성 테스트 필요 / 검증: uname -r로 버전 확인)

[파이프라인 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00206) 수치가 매우 낮고 KEV에 등재되지 않았으며 악용 난이도가 'hard'라는 점을 근거로 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도(CVSS 5.5)보다 실제 야생에서의 악용 가능성이 현저히 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00206 · exploit=hard · in_scope=None