[분석가] 분석 — CVE-2025-22111

• 심각도 medium · CVSS 5.5 · EPSS 0.00191 · 악용난이도 hard

(1) 트리거 조건: SIOCBRADDIF 및 SIOCBRDELIF ioctl 요청 시 발생하는 RTNL(Routing Netlink) lock의 불필요한 해제와 재획득 과정(RTNL dance)에서 Race Condition이 발생합니다.
(2) 공격 단계:

• 전제 조건: 로컬 시스템에 대한 낮은 수준의 권한(PR:L) 보유 및 네트워크 설정 변경 권한 필요.
• 실행:
  1. Thread A가 SIOCBRDELIF를 호출하여 브리지에서 장치를 분리 시도 $\rightarrow$ dev_ioctl()에서 netdev_hold()로 refcnt 증가 후 RTNL lock 해제.
  2. Race Window 발생: Thread B가 동시에 SIOCBRDELBR 등을 통해 해당 브리지 장치 자체를 제거 시도 $\rightarrow$ RTNL lock 획득 및 제거 작업 수행.
  3. Thread A가 다시 RTNL lock을 획득하려 하지만, 이미 Thread B에 의해 장치가 제거된 상태에서 Lock 경합 및 대기 발생 $\rightarrow$ 시스템 커널 패닉(Splat) 유발.
• 관측 지표: 커널 로그(dmesg) 내 RTNL 관련 deadlock 또는 null pointer dereference 등의 스택 트레이스 확인.
  (3) 공격 표면: Linux Kernel Network Bridge 인터페이스의 ioctl 엔드포인트 (SIOCBRADDIF, SIOCBRDELIF).
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 권한 필요), UI:N(사용자 개입 불필요). 즉, 시스템 내부 권한을 가진 사용자가 특정 시점에 정교하게 요청을 보내야 하므로 실제 실행 난이도는 높습니다.

악용 가능성: 본 취약점은 Linux kernel의 Bridge 인터페이스 제어 과정에서 발생하는 Race Condition으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 이미 로그인한 저권한 계정(Low Privilege)을 보유해야 하며, 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 SIOCBRADDIF 및 SIOCBRDELIF와 같은 Bridge 관련 ioctl 엔드포인트이며, 특정 타이밍에 RTNL(Routing Netlink) 락의 해제와 재획득이 반복되는 'RTNL dance' 구간에서 정밀한 Race Condition을 유도해야 합니다. EPSS 수치는 0.00191로 매우 낮고 KEV에 등재되지 않아 실제 야생(In-the-wild)에서의 악용 사례는 미관측 상태입니다. 따라서 이론적인 심각성과 별개로, 공격자가 커널 내부의 스케줄링과 락 메커니즘을 정밀하게 제어해야 한다는 점에서 실질적인 악용 가능성은 낮습니다.

(1) 기술적 위험: 서비스 거부(DoS). 커널 수준의 Race Condition으로 인한 시스템 크래시(Kernel Panic)가 발생하여 호스트 전체가 중단됩니다. 데이터 유출이나 권한 상승 가능성은 본 리포트 근거상 확인되지 않습니다.
(2) 비즈니스 영향:

• 가용성 저하: 서버 다운타임 발생으로 인한 서비스 중단.
• 노출 규모: Linux Kernel 5.15 ~ 6.14.2 버전을 사용하는 광범위한 리눅스 배포판이 대상이며, 특히 브리지 네트워크를 사용하는 가상화 환경(KVM, Docker 등)에서 영향 범위가 넓을 수 있습니다.

• 추정: 본 취약점은 단독으로 DoS를 유발하지만, 다른 권한 상승(LPE) 취약점과 체이닝될 경우 시스템 가용성을 무너뜨려 보안 솔루션의 감시를 회피하거나 특정 프로세스의 재시작을 강제하는 방식으로 활용될 수 있는 '패턴'을 가집니다.
• 유형: Race Condition $\rightarrow$ Kernel Panic (DoS).

(1) 로그 지표: /var/log/syslog 또는 dmesg에서 br_ioctl_call, rtnl_lock, netdev_put 등이 포함된 커널 덤프 및 스택 트레이스 확인.
(2) 탐지 규칙 예시:

• 로직: 짧은 시간 내에 동일한 인터페이스에 대해 SIOCBRDELIF와 브리지 삭제 요청이 반복적으로 발생하는 패턴 감시.
• Auditd 규칙: -a always,exit -F arch=b64 -S ioctl -F a0=0x8914 (추정: SIOCBRDELIF 값 기반 필터링)
  (3) 오탐 시나리오 및 튜닝: 네트워크 자동화 스크립트나 오케스트레이션 도구(K8s CNI 등)가 브리지를 빈번하게 생성/삭제할 때 발생할 수 있습니다. 정상적인 관리 도구의 PID를 화이트리스트에 추가하여 튜닝합니다.

• 즉시 (긴급 차단):
  • 일반 사용자의 네트워크 설정 변경 권한 제한 (CAP_NET_ADMIN 권한 제어).
  • 구현 난이도: 낮음 / 운영 영향: 높음(네트워크 관리 도구 작동 불가 가능성) / 검증: capsh --print로 권한 확인.
• 단기 (완화):
  • 불필요한 브리지 인터페이스 제거 및 네트워크 구성 단순화.
  • 구현 난이도: 중간 / 운영 영향: 낮음 / 검증: brctl show 또는 ip link로 확인.
• 근본 (해결):
  • Linux Kernel을 취약점이 해결된 최신 버전(6.14.2 이후 또는 배포판 제공 보안 패치)으로 업데이트. 본 리포트는 다중 소스 교차검증을 통해 일관성이 확인되었으며, EPSS 수치가 0.00191로 매우 낮고 KEV에 등재되지 않아 우선순위는 monitor로 결정되었습니다.
  • 구현 난이도: 중간 / 운영 영향: 중간(리부팅 필요) / 검증: uname -r로 커널 버전 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00191 · exploit=hard · in_scope=None