[단독분석] 분석 — CVE-2026-23458

• 심각도 high · CVSS 7.8 · EPSS 0.00131 · 악용난이도 hard

netfilter 모듈의 ctnetlink_dump_exp_ct() 함수 내 참조 카운트 관리 미흡으로 발생하는 Memory-Corruption(UAF) 취약점입니다.

1. 촉발: Netlink dump 시작 시 conntrack 포인터를 저장하지만, netlink_dump_start() 직후 참조를 즉시 해제합니다.
2. 경로: 덤프가 여러 라운드로 진행되어 두 번째 recvmsg()가 호출될 때, 이미 해제된 메모리를 nfct_help(ct)를 통해 역참조하며 UAF가 발생합니다.
3. 결과: 커널 패닉을 통한 가용성 상실 또는 추정: 해제된 영역의 제어를 통한 임의 코드 실행으로 이어질 수 있습니다.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 서브시스템 내 ctnetlink_dump_exp_ct() 함수에서 발생하는 Use-After-Free(UAF) 결함입니다. 공격 벡터가 AV:L(Local) 및 PR:L(Low privilege)로 제한되어 있어, 공격자는 대상 시스템에 이미 낮은 권한의 계정으로 접근하여 Netlink 소켓을 통해 커널과 통신할 수 있는 상태여야 합니다. 공격 표면은 ctnetlink 인터페이스를 통한 conntrack 덤프 요청이며, 특히 데이터 양이 많아 덤프 과정이 여러 라운드로 나뉘어 진행될 때(recvmsg() 반복 호출) 유효하지 않은 메모리 참조가 트리거됩니다. AC:L(Low complexity) 특성상 트리거 조건 자체는 단순하지만, 커널 메모리의 레이아웃을 정밀하게 제어하여 실행 권한을 획득해야 하므로 실제 공격 난이도는 hard로 판정됩니다. EPSS 수치는 0.00131로 매우 낮으며 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점으로 보아, 현재 야생에서의 실질적인 악용 사례는 미관측된 상태입니다. 따라서 이론적 심각도와 달리 실제 악용 가능성은 낮으나, 로컬 권한 상승(LPE)을 노리는 정교한 공격자에게는 잠재적인 타겟이 될 수 있습니다.

• 영향 범위 및 규모: Linux Kernel 3.10부터 6.19.10까지 매우 광범위한 버전이 영향을 받습니다. 다중 소스 교차검증을 통해 데이터 일관성이 확인(신뢰도 1.0)되었으며, 커널 핵심 네트워크 구성 요소의 결함인 만큼 배포판 및 임베디드 시스템 전반에 걸쳐 노출 규모가 매우 클 것으로 분석됩니다.
• 기술적 위험: AV:L/PR:L 벡터에 따라 로컬 저권한 계정을 보유한 공격자가 트리거 가능합니다. 성공 시 커널 메모리 오염으로 인해 시스템이 즉시 중단(Kernel Panic)되거나, 추정: 루트 권한 탈취를 통한 완전한 시스템 장악이 가능합니다.
• 비즈니스 리스크: 인프라 계층의 예기치 못한 장애로 인한 서비스 가용성 상실 및 시스템 권한 탈취 시 내부 데이터 유출과 그에 따른 보안 컴플라이언스 위반 리스크가 존재합니다.

• 유형: Memory-Corruption (CWE-416: Use-After-Free)
• 체이닝 가능성: 로컬 권한이 전제되므로, 추정: 외부 진입 경로를 제공하는 원격 코드 실행(RCE) 취약점과 체이닝될 경우 최종적인 시스템 루트 권한 획득 단계로 악용될 수 있습니다.

• 커널 로그: KASAN 활성화 환경에서 BUG: KASAN: slab-use-after-free in ctnetlink_exp_ct_dump_table 메시지 모니터링.
• 비정상 행위: Netlink 소켓을 통한 비정상적인 대량의 conntrack 덤프 반복 요청 패턴 및 ctnetlink_poc와 같은 식별자 포함 프로세스 감시.

• 근본 해결: .start 및 .done 콜백이 추가되어 참조 카운트 관리가 수정된 최신 보안 패치 버전으로 커널을 업데이트하십시오.
• 즉시 조치: 일반 사용자의 Netlink 소켓 접근 권한을 제한하여 공격 표면을 최소화하십시오.
• 우선순위 판단: CVSS 7.8(High)로 심각도는 높으나, 실측 EPSS가 0.00131(백분위 0.03128)로 매우 낮고 KEV 미등재 및 악용 난이도가 hard인 점을 근거로 이번 주 내(scheduled) 패치를 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00131 · exploit=hard · in_scope=None