[단독분석] 분석 — CVE-2025-68776

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

prp_get_untagged_frame() 함수가 PRP 프레임을 처리할 때 __pskb_copy() 로 메모리를 할당하고 반환값을 확인하지 않습니다. 할당이 실패하면 NULL 이 반환되는데, 이후 skb_clone(NULL) 호출로 인해 커널에서 null‑ptr‑deref 가 발생해 일반 보호 오류(OOPS)와 함께 시스템 전체가 패닉됩니다.
이 취약은 네트워크를 통해 전송되는 PRP/HSR 프레임에 의해 트리거되며, 메모리 압박(예: OOM 상태)을 유도하거나 특수히 조작된 프레임을 보내야 합니다. 공격 벡터는 Network(N)이며 권한 요구 수준은 None이지만 성공 조건이 까다롭기 때문에 exploit 난이도는 hard 로 평가됩니다.

• 기술적 위험: NULL 포인터 역참조로 인한 커널 패닉 → 시스템 전체가 재부팅되거나 멈추어 서비스 중단(DoS) 발생합니다. 데이터 유출·권한 상승·횡적 이동 등 추가적인 보안 위협은 보고되지 않았습니다.
• 비즈니스 리스크: 가용성 손실로 인한 다운타임, SLA 위반 및 고객 신뢰도 저하가 주요 우려이며, 특히 Linux 기반 서버·컨테이너·네트워크 장비 등 핵심 인프라에서 발생할 경우 운영 비용이 크게 증가합니다. 규제 환경에 따라 가용성 요구사항 미충족 시 추가 보고·보완 조치가 필요할 수 있습니다.
• 영향 제품·노출 규모: net/hsr 모듈을 포함하는 모든 Linux 커널이 대상이며, 구체적인 배포판·버전은 명시되지 않았습니다(추정: 4.x 이상에서 해당 파일 존재). HSR/PRP 기능을 활성화한 시스템—산업용 이더넷 장비, 가상 네트워크 환경 등—전체가 잠재적 공격 표면에 포함됩니다.

• CWE‑476 (Null Pointer Dereference)와 동일한 패턴으로, 메모리 할당 결과 검증 누락이 반복되는 커널 네트워크 스택 버그와 연관됩니다.
• 추정: OOM을 유도하는 대량 SYN‑flood 등 DoS 공격과 결합하면 지속적인 커널 패닉을 초래할 수 있습니다.

• 커널 로그에서 “null‑ptr‑deref” 혹은 prp_get_untagged_frame 문자열이 포함된 OOPS 메시지를 모니터링합니다.
• KASAN 활성 시 0x78~0x7f 범위의 null‑ptr‑deref 경보를 수집합니다.
• auditd 또는 eBPF 규칙으로 skb_clone 호출 직전 인자가 NULL인지 확인하는 이벤트를 기록합니다.

1. 패치 적용: upstream 커밋에 포함된 널 체크가 추가된 최신 Linux 커널 버전으로 업데이트합니다.
2. 모듈 비활성화: 패치를 즉시 적용하기 어려운 경우 modprobe -r hsr 등으로 net/hsr 모듈을 언로드하거나 블랙리스트에 등록하여 해당 경로를 차단합니다.
3. 모니터링 강화: EPSS 0.00177 및 exploit 난이도 hard, KEV 비등재·CVSS 미상이라는 판단 근거로 현재 우선순위는 monitor이며, OOPS/KASAN 로그와 eBPF/auditd 이벤트를 실시간으로 수집·알림하여 이상 징후 발생 시 신속히 대응합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None