[방어] 분석 — CVE-2024-58061

• 심각도 medium · CVSS 5.5 · EPSS 0.0017 · 악용난이도 hard

(1) 트리거 조건: debugfs 인터페이스를 통해 mac80211 서브시스템의 링크 비활성화 관련 엔드포인트에 특정 값을 쓰기(write) 할 때 발생합니다. 내부 API에서는 모든 링크가 비활성화되는 상황을 WARN_ON으로 처리하나, debugfs 직접 쓰기 단계에서 이를 적절히 차단하지 않아 커널 패닉 또는 시스템 불안정 상태를 유발합니다.
(2) 공격 단계:

• 정찰: 대상 시스템의 Linux 커널 버전 및 debugfs 마운트 여부 확인.
• 초기 접근: 로컬 사용자 권한 획득 (PR:L).
• 실행: debugfs 내 mac80211 관련 경로에 모든 링크를 비활성화하는 값 전송.
• 영향: 커널 내부의 WARN_ON 트리거 및 시스템 크래시(DoS) 유발.
  (3) 공격 표면: /sys/kernel/debug/ 하위의 mac80211 관련 제어 파일.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 쉘 접근 필요.
• AC:L (Low): 트리거 방법이 단순함.
• PR:L (Low): debugfs 접근 권한을 가진 특정 사용자/그룹 권한 필요.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 대상 시스템에 낮은 권한의 계정으로 로그인하여 로컬 셸 접근권을 확보한 상태여야만 트리거가 가능합니다. 실제 공격 표면은 커널의 debugfs 인터페이스 내 특정 쓰기 파라미터로 제한되며, 이는 일반 사용자에게는 기본적으로 차단되어 있어 권한 상승이나 추가적인 설정 오류가 전제되어야 합니다. EPSS 수치가 0.0017로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 경로를 통한 자동화된 공격 사례가 거의 없음을 시사합니다. 다만, AC:L인 만큼 일단 접근 권한과 인터페이스 노출 조건이 충족된다면 트리거 자체는 단순하며, 이는 이론적 심각도와 별개로 내부 위협이나 포스트 익스플로잇 단계에서의 가용성 저해 위험으로 작용합니다. 결과적으로 외부망을 통한 직접 침투보다는 내부 권한을 가진 공격자가 커널 패닉 등을 유도하여 시스템을 무력화하려는 시나리오가 주된 악용 가능성입니다.

(1) 기술적 위험: 서비스 거부(DoS). 커널 레벨의 오류로 인해 시스템이 즉시 중단되거나 재부팅되어 가용성이 완전히 상실됩니다. 데이터 유출이나 권한 상승으로 이어질 가능성은 낮습니다 (C:N/I:N/A:H).
(2) 비즈니스 영향: 해당 커널 버전을 사용하는 서버나 임베디드 장비의 갑작스러운 다운타임 발생. 서비스 가용성 저하 및 운영 연속성 훼손.

추정: 본 취약점은 단독으로 시스템을 중단시키는 DoS 형태이나, 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 경우, 공격자가 낮은 권한에서 debugfs에 접근하여 시스템을 임의로 재부팅시키거나 특정 상태로 유도하는 등의 방해 공작에 활용될 수 있습니다.

(1) 로그 지표: 커널 링 버퍼(dmesg) 및 /var/log/syslog 또는 kern.log. 특히 mac80211 관련 WARN_ON 메시지와 스택 트레이스(Stack Trace)가 남습니다.
(2) 탐지 규칙 예시:

• 로직 1 (파일 접근 감시): auditd를 사용하여 debugfs 내 mac80211 경로에 대한 쓰기 시도 감시.
  • 조건: path=/sys/kernel/debug/mac80211/... AND syscall=write
• 로직 2 (커널 로그 패턴): SIEM에서 커널 경고 패턴 탐지.
  • 정규식: /mac80211.*prohibit deactivating all links|WARN_ON.*mac80211/
• 로직 3 (의사코드): IF event.source == "kernel_log" AND event.message CONTAINS "mac80211" AND event.level == "WARNING" THEN alert("Potential CVE-2024-58061 Trigger");
  (3) 오탐 튜닝: 네트워크 드라이버 디버깅을 위해 관리자가 의도적으로 debugfs를 사용하는 경우 발생할 수 있습니다. 승인된 관리자 계정의 IP/PID 화이트리스트를 적용하여 튜닝합니다.

즉시(긴급 차단): debugfs 마운트 해제 또는 접근 제한.

• 조치: mount -o remount,ro /sys/kernel/debug (읽기 전용 전환) 또는 umount /sys/kernel/debug.
• 난이도: 낮음 / 운영 영향: 디버깅 도구 사용 불가 / 검증: mount 명령어로 상태 확인 / 우선순위: 최상.

단기(완화): debugfs 접근 권한 강화.

• 조치: /sys/kernel/debug 경로의 권한을 root 전용(chmod 700)으로 설정하여 일반 사용자의 접근을 원천 차단.
• 난이도: 낮음 / 운영 영향: 최소 / 검증: 비특권 계정에서 해당 경로 접근 시 Permission denied 확인 / 우선순위: 높음.

근본(해결): 커널 업데이트.

• 조치: 영향받는 버전(6.1~6.13)에서 수정 버전(예: 6.1.130+, 6.6.77+ 등 각 브랜치의 최신 패치 버전)으로 업그레이드.
• 난이도: 보통 / 운영 영향: 시스템 재부팅 필요 / 검증: uname -r로 커널 버전 확인 / 우선순위: 근본 해결책.

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었습니다(신뢰도 1.0). 실측 EPSS 값은 0.0017(백분위 0.0672)로 매우 낮으며, 이는 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 현저히 낮음을 의미합니다. 이에 따라 KEV 미등재 및 AV:L 조건을 고려하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0017 · exploit=hard · in_scope=None