[공격] 분석 — CVE-2025-21765

• 심각도 medium · CVSS 5.5 · EPSS 0.00224 · 악용난이도 hard

(1) 트리거 조건

• ip6_default_advmss() 함수가 net 구조체에 접근할 때 RCU(Read-Copy-Update) 보호 메커니즘이 누락됨.
• 네트워크 네임스페이스 변경이나 인터페이스 삭제 등 net 구조체가 해제되는 시점과 해당 함수가 이를 참조하는 시점이 겹치는 Race Condition 발생 시 트리거됨.

(2) 공격 단계

• 정찰: 타겟 시스템의 커널 버전 확인 (Linux kernel 2.6.26 ~ 6.13.4 범위 내).
• 초기 접근: Local User 권한 획득 (AV:L, PR:L 전제).
• 실행/영향: 네트워크 네임스페이스를 빈번하게 생성/삭제하거나 IPv6 관련 설정을 조작하여 ip6_default_advmss()가 유효하지 않은 메모리 주소를 참조하도록 유도 $\rightarrow$ Kernel Panic 발생.
• 관측 지표: 시스템 로그(dmesg) 내 Null pointer dereference 또는 Use-after-free 관련 커널 덤프/Panic 메시지.

(3) 공격 표면

• 함수: ip6_default_advmss()
• 프로토콜: IPv6 Stack
• 엔드포인트: Local System Call (네트워크 설정 변경 및 네임스페이스 조작 API).

(4) CVSS 벡터 분석

• AV:L / PR:L: 외부 네트워크에서 직접 공격은 불가능하며, 이미 시스템에 로그인한 저권한 사용자가 필요함.
• AC:L / UI:N: 특별한 사용자 상호작용 없이 특정 조건(Race Condition)만 맞으면 실행 가능.
• A:H: 성공 시 커널 패닉으로 인한 시스템 가용성 완전 상실.

악용 가능성: 본 취약점은 AV:L 및 PR:L 조건으로 인해 공격자가 이미 시스템에 일반 사용자 권한으로 접근해 있어야 하는 높은 진입 장벽을 가집니다. 공격 표면은 Linux 커널의 IPv6 스택 내 ip6_default_advmss() 함수이며, 네트워크 인터페이스 설정 변경이나 특정 패킷 유도 등을 통해 RCU(Read-Copy-Update) 보호가 없는 메모리 참조를 트리거해야 합니다. EPSS 수치가 0.00224로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 결함을 이용한 자동화된 공격 도구나 실전 사례가 드물다는 것을 의미합니다. 그러나 이론적으로는 Race Condition을 유도하여 Use-After-Free(UAF)를 일으킬 수 있으며, 이는 커널 패닉(DoS)이나 정교한 메모리 레이아웃 조작 시 권한 상승으로 이어질 가능성이 있습니다. 결과적으로 로컬 접근 권한과 커널 메모리 상태에 대한 정밀한 제어가 필요하므로 공격 난이도는 매우 높지만, 내부 침투 후 권한 상승을 노리는 타겟팅 공격의 체이닝 경로로 악용될 수 있습니다.

(1) 기술적 위험

• 서비스 중단 (DoS): 커널 레벨의 메모리 오류로 인해 전체 시스템이 크래시되어 서비스가 즉각 중단됨. 데이터 유출이나 권한 상승 가능성은 낮으나, 가용성에 치명적임.

(2) 비즈니스 영향

• 가용성 저하: 서버 다운타임 발생으로 인한 서비스 SLA 위반.
• 운영 리스크: 다수의 커널 버전(2.6.26 ~ 6.13.4)에 걸쳐 광범위하게 영향을 미치므로, 패치되지 않은 레거시 시스템 및 최신 배포판 모두 잠재적 위험군에 속함.

• 추정: 권한 상승 체이닝: 단독으로는 DoS(Denial of Service)만 유발하지만, 추정컨대 메모리 레이아웃을 정교하게 조작할 수 있는 다른 Use-after-free(UaF) 취약점과 체이닝될 경우, 단순 크래시가 아닌 임의 코드 실행(LPE)으로 이어질 가능성이 있음.
• 패턴: Missing RCU Lock $\rightarrow$ Race Condition $\rightarrow$ Use-After-Free (UaF) $\rightarrow$ Kernel Panic / Privilege Escalation.

(1) 로그 지표

• /var/log/syslog 또는 dmesg에서 ip6_default_advmss 함수 호출 스택을 포함한 Kernel Oops 또는 Panic 로그 확인.

(2) 탐지 규칙 예시

• Rule 1 (로그 기반): dmesg | grep -E "kernel panic|Oops|Unable to handle kernel paging request" | grep "ip6_default_advmss"
• Rule 2 (행위 기반): 짧은 시간 내에 비정상적으로 많은 수의 네트워크 네임스페이스 생성/삭제 행위 모니터링.
  • Condition: count(netns_create) > Threshold AND count(netns_delete) > Threshold WITHIN 1s

(3) 오탐 시나리오 및 튜닝

• 오탐: 네트워크 관리 도구(Kubernetes, Docker 등)의 정상적인 컨테이너 생성/삭제 작업.
• 튜닝: 신뢰할 수 있는 관리자 계정이나 특정 시스템 프로세스(containerd, kubelet 등)에서 발생하는 네임스페이스 조작은 화이트리스트 처리.

• 즉시 (긴급 차단):
  • 불필요한 일반 사용자의 네트워크 네임스페이스 생성/수정 권한 제한 (CAP_NET_ADMIN 권한 제어). [난이도: 하 / 영향: 일부 관리 도구 작동 불가 가능성]
• 단기 (완화):
  • IPv6를 사용하지 않는 환경이라면 IPv6 스택 비활성화. [난이도: 하 / 영향: IPv6 통신 불가]
• 근본 (해결):
  • ip6_default_advmss()에 RCU 보호 코드가 적용된 최신 커널 버전으로 업데이트. (영향 제품 범위 내 각 메이저 버전의 최신 패치 버전 적용). [난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단]
  • 검증: 업데이트 후 uname -r로 버전 확인 및 네트워크 설정 변경 시 커널 패닉 발생 여부 테스트.

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 합니다. 실측 EPSS 값인 0.00224는 이론적 심각도(CVSS 5.5)와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 시사하며, 이에 따라 규칙 기반 우선순위 결정 논리에 의해 'monitor' 등급으로 분류되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00224 · exploit=hard · in_scope=None