[분석가] 분석 — CVE-2025-68776

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

prp_get_untagged_frame() 함수가 네트워크 패킷을 처리하면서 __pskb_copy() 의 반환값을 검사하지 않아 NULL이 전달되면 skb_clone() 에서 NULL 포인터 역참조가 발생한다. 외부에서 조작된 HSR/PRP 프레임을 전송하면 커널 패닉(Oops)으로 이어져 시스템이 재부팅하거나 서비스가 중단된다.

악용 가능성: 이 취약점은 CVSS AV=Network, AC=High, PR=Low, UI=None 로 해석할 수 있습니다. 즉 공격자는 네트워크를 통해 HSR(High‑availability Seamless Redundancy) 프레임을 전송해야 하며, 특수한 프레임 구조와 커널 내부 동작을 정확히 이해하고 있어야 → 공격 복잡도가 높아 “hard” 등급이 부여되었습니다. EPSS 값 0.00177은 현재까지 실제 악용 사례가 거의 관측되지 않았음을 의미하며, KEV에 등재되지 않은 점도 야생 공격 위험이 낮다는 근거가 됩니다. 트리거 조건은 HSR/PRP 프로토콜을 사용하는 인터페이스에 비정상적인 Ethernet 프레임을 주입하여 prp_get_untagged_frame() 함수가 __pskb_copy() 실패 시 NULL 포인터를 반환하도록 만드는 것입니다. 공격 표면은 HSR 혹은 PRP 를 지원하는 Linux 커널 네트워크 스택이며, 노출되는 엔드포인트는 해당 프로토콜을 수신하는 물리·가상 NIC와 그에 연결된 사용자 공간 애플리케이션(예: raw‑socket 사용 프로그램)입니다. 따라서 공격자는 특정 환경

• 기술적 위험

  • NULL‑pointer dereference 로 인한 커널 패닉 → 전체 시스템 다운(서비스 거부).
  • 공격자는 HSR 모듈이 로드된 호스트에 특수히 조작된 프레임만 전송하면 즉시 가용성을 파괴할 수 있다.
  • 메모리 손상·권한 상승 등 추가적인 악용 경로는 현재 확인되지 않았다(미관측).

• 비즈니스 영향

  • 가용성: 커널 패닉 발생 시 복구에 재부팅 및 서비스 재시작이 필요하므로 가동률 손실이 크다.
  • 규제·컴플라이언스: 시스템 중단이 SLA 위반으로 이어질 수 있다.
  • 신뢰도: 빈번한 Oops 로그는 운영팀의 신뢰를 저하시킬 위험이 있다.

• 노출 규모

  • 영향 제품: Linux 커널 전체(HSR 모듈 포함, 버전 미상).
  • 실제 배포 환경에서 HSR/PRP를 사용하는 경우에만 노출된다(예: 산업용 이더넷 백본).

• 위험 수준 판단 근거

  • 다중 소스 교차검증 결과 일관성이 확인됐다.
  • EPSS 0.00177(백분위 0.07464)·난이도 hard·KEV 미등재·CVSS 미상 → 규칙 기반 우선순위는 “monitor”(모니터링)으로 설정되었다. 낮은 EPSS와 높은 난이도가 현재 악용 가능성을 제한하지만, 원격 DoS 가능성 자체가 비즈니스 연속성에 중대한 영향을 미칠 수 있기에 모니터링과 함께 사전 차단 조치를 권고한다.

• 동일한 NULL‑pointer dereference 패턴은 net/core/skbuff.c 의 다른 함수에서도 보고된 바 있다(예: 과거 커널 버전의 skb_clone 사용 오류).
• HSR/PRP 모듈 자체가 네트워크 스택에 깊게 연계돼 있으므로, 해당 모듈이 로드된 상태에서 다른 네트워크‑스택 취약점과 결합될 경우 복합적인 서비스 장애 시나리오가 형성될 가능성이 있다(구체적 CVE 번호는 확인되지 않음).

• 커널 로그(dmesg, /var/log/kern.log) 에서 null-ptr-deref 와 skb_clone+0xd7/0x3a0 문자열이 포함된 Oops 메시지 감시.
• KASAN 활성화 시 KASAN: null-ptr-deref in range [...] 경고가 출력되는 경우 알림.
• 시스템 모니터링 툴(eg. syslog, journald) 에서 “general protection fault” 혹은 “Oops:” 로 시작하는 이벤트를 트리거로 설정.

1. 즉시 조치

   • HSR 모듈 비활성화: modprobe -r hsr 또는 /etc/modprobe.d/blacklist.conf 에 blacklist hsr 추가 후 재부팅.
   • 해당 호스트에서 HSR 관련 네트워크 인터페이스를 사용 중이면 비활성화하거나 대체 프로토콜로 전환.

2. 근본 해결

   • upstream Linux 커널 패치 적용(Null‑check 추가) → 최신 안정 버전 커널로 업데이트.
   • 배포 환경에 맞는 테스트 후 롤아웃하고, 보안 알림 채널(CVE 데이터베이스, distro security mailing list) 을 구독해 향후 수정 사항을 지속 모니터링.

3. 추가 방어

   • KASAN 또는 기타 메모리 오류 검출 도구를 활성화하여 유사한 결함을 사전 탐지.
   • 네트워크 IDS/IPS 에서 HSR/PRP 프레임 구조를 기반으로 비정상적인 패킷 길이·오프셋 변조 시 경보 설정.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None