[분석가] 분석 — CVE-2026-23026

• 심각도 medium · CVSS 5.5 · EPSS 0.00183 · 악용난이도 hard

(1) 트리거 조건: dmaengine 내 qcom: gpi 드라이버의 gpi_peripheral_config() 함수에서 krealloc() 호출 시 메모리 할당 실패가 발생해야 함. 기존에 할당된 gchan->config 포인터가 있는 상태에서 krealloc()이 NULL을 반환하면, 해당 결과값이 그대로 gchan->config에 덮어씌워져 기존 메모리 참조를 상실함.
(2) 공격 단계:

• 정찰 및 초기 접근: 로컬 시스템의 일반 사용자 권한 확보 (PR:L).
• 실행: 특정한 드라이버 설정 변경이나 리소스 요청을 통해 gpi_peripheral_config() 함수 호출 유도.
• 영향: 메모리 할당 실패 상황을 강제하여 커널 메모리 누수(Memory Leak) 발생시킴.
  (3) 공격 표면: Qualcomm GPI 드라이버를 사용하는 Linux 커널 인터페이스.
  (4) CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N에 따라, 로컬 권한을 가진 사용자가 특별한 사용자 상호작용 없이 낮은 복잡도로 트리거할 수 있는 구조임.

악용 가능성: 본 취약점은 Linux kernel 내 dmaengine: qcom: gpi 모듈의 gpi_peripheral_config() 함수에서 발생하는 Memory Leak으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L(Local) 및 PR:L(Low) 조건에 따라, 공격자는 시스템 내 일반 사용자 권한을 이미 획득한 상태에서 로컬 인터페이스를 통해 커널 메모리 할당을 유도해야 합니다. 특히 krealloc() 함수가 실패하여 NULL을 반환하는 특정 메모리 압박 상황이 트리거 조건이 되므로, 공격자가 의도적으로 이 시점을 제어하기는 매우 까다롭습니다. EPSS 수치가 0.00183으로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 뒷받침하며, 이론적 심각도 대비 실질적 위협 수준이 낮음을 의미합니다. 공격 표면은 Qualcomm GPI 드라이버와 상호작용하는 커널 엔드포인트 및 관련 파라미터로 제한됩니다. 결과적으로 본 취약점은 원격 실행보다는 로컬 환경에서의 자원 고갈을 통한 서비스 거부(DoS) 가능성에 가깝기에 악용 가능성은 낮습니다.

(1) 기술적 위험: 메모리 누수로 인한 커널 가용 자원 고갈 및 시스템 불안정성 유발. 지속적인 누수 발생 시 Kernel Panic 또는 OOM(Out-Of-Memory) Killer에 의한 프로세스 강제 종료로 이어져 서비스 중단(Availability: High) 가능성이 있음.
(2) 비즈니스 영향: 해당 하드웨어 드라이버를 사용하는 임베디드 시스템이나 서버의 가용성 저하. 다만, 데이터 유출(C:N)이나 권한 상승(I:N) 위험은 없으므로 기밀성 및 무결성에 미치는 직접적 영향은 낮음.

추정: 본 취약점은 단독으로 시스템 장악을 가능케 하지는 않으나, 메모리 누수를 통해 커널의 메모리 레이아웃을 조작하거나 특정 메모리 압박 상태를 유도함으로써 다른 Memory Corruption 취약점(예: Use-After-Free)의 트리거 조건을 형성하는 보조 수단으로 활용될 가능성이 있음.

(1) 로그 지표: 커널 로그(dmesg, /var/log/kern.log) 내 krealloc 실패와 관련된 메모리 할당 오류 메시지 및 OOM Killer 작동 기록.
(2) 탐지 규칙 예시:

• 로직: Slab 메모리 사용량의 비정상적 증가 및 qcom_gpi 관련 모듈의 메모리 점유율 모니터링.
• 쿼리 예시: dmesg | grep -Ei "out of memory|oom-killer|qcom gpi"
  (3) 오탐 시나리오 및 튜닝: 실제 하드웨어 리소스 부족으로 인한 일반적인 OOM 발생과 구분 필요. 특정 드라이버 모듈 로드 후 메모리 사용량이 계단식으로 증가하는 패턴을 분석하여 튜닝함.

• 즉시(긴급 차단): 해당 기능을 사용하지 않는 경우, Qualcomm GPI 관련 커널 모듈의 로드를 제한하거나 비활성화 (난이도: 하 / 영향: 해당 기능 사용 불가).
• 단기(완화): 시스템 메모리 모니터링 주기를 단축하여 OOM 발생 전 조기 경보 설정 및 주기적인 리부팅 스케줄링 고려 (난이도: 하 / 영향: 운영 공수 증가).
• 근본(해결): 취약점이 수정된 최신 Linux 커널 버전으로 업데이트. krealloc() 결과를 임시 변수에 저장하여 성공 시에만 포인터를 업데이트하는 패치 적용 (난이도: 중 / 영향: 커널 업데이트에 따른 시스템 재부팅 및 호환성 검증 필요).

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값인 0.00183(백분위 0.08078)은 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 의미합니다. 이에 따라 CVSS 5.5 및 non-KEV, exploit hard 등급을 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00183 · exploit=hard · in_scope=None