[방어] 분석 — CVE-2025-21867

• 심각도 high · CVSS 7.8 · EPSS 0.00181 · 악용난이도 hard

(1) 트리거 조건: bpf_prog_test_run_xdp() 함수가 bpf_test_init()에 ETH_HLEN(Ethernet 헤더 길이)보다 작은 값을 user_data 인자로 전달할 때 발생합니다. 이로 인해 eth_skb_pkt_type()이 유효하지 않은 Ethernet 헤더 영역(메모리 해제 후 또는 범위 밖)에 접근하여 Use-After-Free(UAF)가 트리거됩니다.
(2) 공격 단계:

• 초기 접근: 시스템에 로그인한 로컬 사용자 권한 확보 (PR:L).
• 실행: BPF test_run 인터페이스를 통해 특수하게 조작된 user_data(길이가 짧은 데이터)를 포함한 요청을 커널에 전달.
• 메모리 오염: eth_type_trans $\rightarrow$ eth_skb_pkt_type 경로에서 유효하지 않은 메모리 참조 발생.
• 영향: 추정: 커널 패닉(DoS) 또는 정교한 힙 스프레이를 통한 권한 상승 시도.
  (3) 공격 표면: Linux Kernel BPF subsystem의 test_run 관련 시스템 콜 및 인터페이스.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(일반 사용자 권한 필요), UI:N(사용자 상호작용 불필요).

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에서 알 수 있듯, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근 가능한 로컬 쉘을 확보해야 하며, 이는 외부망에서의 즉각적인 침투가 불가능함을 의미합니다. 공격 표면은 Linux Kernel의 bpf_prog_test_run_xdp() 함수와 연결된 user_data 파라미터이며, 유효하지 않은(ETH_HLEN 미만) 값을 전달하여 eth_skb_pkt_type()에서 Use-After-Free(UAF)를 트리거하는 구조입니다. EPSS 수치가 0.00181로 매우 낮고 KEV에 등재되지 않았다는 점은, 현재 실제 환경에서 이 취약점을 이용한 공격 사례가 거의 없으며 익스플로잇의 안정적 구현이 까다롭다는 것을 시사합니다. 따라서 이론적인 심각도와 별개로 실질적인 악용 가능성은 낮으나, 권한 상승(Privilege Escalation)을 노리는 내부 위협이나 이미 침투한 공격자의 2차 공격 경로로 활용될 위험이 존재합니다.

(1) 기술적 위험: Memory-Corruption 유형의 취약점으로, 커널 공간에서의 임의 메모리 읽기/쓰기가 가능할 경우 권한 상승(Privilege Escalation) 또는 시스템 전체 가용성 중단(Kernel Panic/DoS)이 발생할 수 있습니다.
(2) 비즈니스 영향: 서버 호스트의 완전한 제어권 상실 및 데이터 무결성 훼손 위험이 있으며, 특히 멀티테넌트 환경(컨테이너 등)에서 호스트 커널 침해 시 전체 인프라로 위험이 확산될 수 있습니다.

• 패턴: Invalid Input $\rightarrow$ Out-of-bounds/UAF $\rightarrow$ Kernel Privilege Escalation.
• 추정 체이닝: BPF를 이용한 정보 유출(KASLR 우회) 취약점과 체이닝될 경우, 메모리 주소를 정확히 예측하여 UAF를 통한 임의 코드 실행으로 이어질 가능성이 높습니다.

(1) 로그 지표: dmesg 또는 /var/log/syslog 내 커널 덤프 및 KMSAN 리포트 패턴 확인. 특히 BUG: KMSAN: use-after-free in eth_skb_pkt_type 문자열이 핵심 지표입니다.
(2) 탐지 규칙 예시:

• SIEM/Log 분석 (의사코드):
  SELECT timestamp, hostname FROM kernel_logs WHERE message MATCHES '.*use-after-free in eth_skb_pkt_type.*' OR message MATCHES '.*bpf_prog_test_run_xdp.*'
• 런타임 모니터링 (추정): bpftrace 등을 사용하여 bpf_test_init 함수에 전달되는 user_data 인자가 ETH_HLEN(14 bytes) 미만인지 실시간 감시.
  (3) 오탐 튜닝: BPF 기반의 네트워크 진단 도구나 커널 테스트 스위트가 실행 중인 개발/QA 환경에서는 정상적인 테스트 과정에서 발생할 수 있으므로, 해당 서버 리스트를 화이트리스트로 관리하여 알람을 제외합니다.

• 즉시(긴급 차단): unprivileged_bpf_disabled 설정을 통해 일반 사용자의 BPF 접근을 전면 차단합니다. (가장 확실한 임시 조치)
  • 방법: sysctl -w kernel.unprivileged_bpf_disabled=1 적용.
  • 난이도: 낮음 / 운영 영향: BPF 기반 모니터링 도구 사용 사용자 제약 / 검증: sysctl 값 확인 / 우선순위: 최상.
• 단기(완화): BPF 관련 시스템 콜을 호출할 수 있는 바이너리나 권한 그룹을 최소화하고, seccomp 프로필을 통해 불필요한 BPF syscall을 제한합니다.
  • 난이도: 중간 / 운영 영향: 특정 애플리케이션 오작동 가능성 / 검증: strace를 통한 시스템 콜 차단 확인 / 우선순위: 중.
• 근본(해결): 제품 버전별 최신 패치 적용 (Linux Kernel 6.1.131+, 6.6.81+, 6.12.18+, 6.13.6+ 등 해당 버전의 수정 버전으로 업데이트).
  • 난이도: 중간(재부팅 필요) / 운영 영향: 서비스 일시 중단(Down-time) 발생 / 검증: uname -r로 커널 버전 확인 / 우선순위: 상.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00181(백분위 0.07991)로 매우 낮아 실제 야생에서의 악용 가능성은 현재로서 희박한 'hard' 등급으로 분류됩니다. 따라서 KEV 미등재 및 낮은 EPSS 수치를 근거로 우선순위를 scheduled(이번 주 내 처리)로 결정하였으나, CVSS 7.8의 잠재적 위험도를 고려하여 즉시 차단 방안을 포함하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00181 · exploit=hard · in_scope=None