[공격] 분석 — CVE-2024-49994

• 심각도 medium · CVSS 5.5 · EPSS 0.00239 · 악용난이도 hard

(1) 트리거 조건: ioctl() 시스템 호출을 통해 BLKSECDISCARD 명령을 전달할 때, 입력값으로 매우 큰 정수(예: 18446744073709551104ULL)를 전달하여 blkdev_issue_secure_erase() 함수 내부에서 Integer Overflow를 유발. 이로 인해 루프 종료 조건이 깨지며 무한 루프에 진입함.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 확인 (uname -a). Linux kernel < 6.10.14 또는 6.11 - 6.11.3 범위인지 확인.
• 초기 접근: 로컬 쉘 권한 확보. (AV:L)
• 실행/영향: BLKSECDISCARD 권한을 가진 계정으로 특수하게 조작된 uint64_t 배열(시작 섹터, 섹터 수)을 인자로 하여 ioctl() 호출 $\rightarrow$ 커널 내부 무한 루프 진입 $\rightarrow$ CPU 점유율 급증 및 시스템 응답 불가 (DoS).

(3) 공격 표면:

• 엔드포인트: 블록 디바이스 파일 (/dev/sdX, /dev/loopX 등).
• 파라미터: ioctl()의 request 인자(BLKSECDISCARD) 및 데이터 포인터(r[2]).

(4) CVSS 벡터 분석:

• AV:L / PR:L: 로컬 접근 권한과 특정 특권(보통 root 또는 디바이스 관리 권한)이 필요함. 외부 네트워크에서 직접 트리거는 불가능하며, 이미 침투한 공격자가 시스템을 마비시키려는 목적으로 사용함.

악용 가능성: 본 취약점은 AV:L 및 PR:L 벡터가 시사하듯, 공격자가 이미 시스템에 로그인하여 로컬 셸 권한을 확보한 상태에서만 트리거 가능하므로 진입 장벽이 높습니다. 공격 표면은 Linux 커널의 Block Layer 인터페이스이며, 구체적으로는 블록 디바이스 파일(fd)을 대상으로 하는 ioctl 시스템 콜의 BLKSECDISCARD 파라미터가 핵심 타깃입니다. 입력값으로 전달되는 uint64_t 배열 내 특정 값들의 조합이 정수 오버플로우(Integer Overflow)를 유발하여 커널 내부의 blkdev_issue_secure_erase() 함수를 무한 루프 상태로 빠뜨리는 구조입니다. EPSS 수치가 0.00239로 매우 낮고 KEV에 등재되지 않은 점은, 이 결함이 원격에서 즉시 실행 가능한 RCE 형태가 아니라 특정 조건의 로컬 환경에서만 작동하는 DoS 성격이 강함을 뒷받침합니다. 결과적으로 공격 난이도는 Hard 수준이며, 단순한 시스템 가용성 저해를 넘어 권한 상승으로 이어지기 위해서는 메모리 오염이나 다른 커널 취약점과의 정교한 체이닝이 전제되어야 합니다.

(1) 기술적 위험: 서비스 중단 (Denial of Service). 커널 모드에서의 무한 루프는 CPU 자원을 완전히 점유하여 시스템 전체의 행(Hang) 상태를 유발하며, 이는 하드웨어 리셋 전까지 복구되지 않을 가능성이 높음.
(2) 비즈니스 영향: 고가용성이 요구되는 서버 환경에서 예기치 못한 다운타임 발생. 특히 스토리지 관리 도구를 사용하는 인프라 환경에서 가용성 저하 및 서비스 신뢰도 하락.

• 추정: 권한 상승 $\rightarrow$ DoS 체인: 일반 사용자는 블록 디바이스에 ioctl을 수행할 권한이 없으므로, 다른 로컬 권한 상승(LPE) 취약점을 통해 root 권한을 획득한 후 최종 단계에서 시스템을 완전히 파괴하거나 흔적을 지우기 위한 DoS 수단으로 체이닝될 수 있음.
• 추정: 정수 오버플로우 패턴: blk_ioctl_discard()와 유사한 정수 처리 로직이 다른 블록 계층 함수에도 존재할 가능성이 있으며, 이는 공통적인 산술 연산 검증 미흡 패턴에 해당함.

(1) 로그 지표: 커널 로그(dmesg, /var/log/kern.log)에서 bio_check_eod 관련 경고 메시지 및 attempt to access beyond end of device 패턴 반복 출력 확인.
(2) 탐지 규칙:

• 로직: 단일 프로세스가 짧은 시간 내에 동일한 블록 디바이스에 대해 비정상적으로 큰 값의 BLKSECDISCARD ioctl 호출을 시도하는지 모니터링.
• SIEM/Auditd 예시: auditctl -a always,exit -S ioctl -F a1=0x400b (추정: BLKSECDISCARD 식별자 값 기준) $\rightarrow$ 특정 프로세스의 CPU 사용률이 100%로 급증하는 이벤트와 결합 분석.
  (3) 오탐 시나리오: 대규모 스토리지 초기화 도구나 특수 백업 솔루션이 정상적으로 Secure Erase를 수행할 때 발생 가능. 실행 주체(Binary path)와 입력값의 범위를 확인하여 튜닝 필요.

• 즉시 (긴급 차단): BLKSECDISCARD 기능을 사용하는 도구의 실행 권한을 엄격히 제한하고, 불필요한 로컬 사용자의 디바이스 파일 접근 권한(chmod/chown)을 제거. (난이도: 하 / 영향: 낮음)
• 단기 (완화): seccomp 프로파일을 적용하여 컨테이너나 특정 서비스가 ioctl 시스템 호출 중 위험한 요청 번호를 사용하지 못하도록 필터링. (난이도: 중 / 영향: 중간 - 일부 관리 도구 작동 불가 가능성)
• 근본 (해결): Linux kernel 6.10.14 이상 또는 6.11.4 이상 버전으로 업데이트. (난이도: 중 / 영향: 높음 - 커널 업데이트 후 재부팅 필요). 다중 소스 교차검증 및 EPSS(0.00239) 수치상 실제 악용 가능성은 낮으나, 시스템 가용성 확보를 위해 패치를 권고함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00239 · exploit=hard · in_scope=None