[단독분석] 분석 — CVE-2025-68363

• 심각도 미상 · CVSS 미상 · EPSS 0.0018 · 악용난이도 hard

• 촉발 경로: BPF 프로그램에서 BPF_MTU_CHK_SEGS 플래그를 사용하여 bpf_skb_check_mtu 헬퍼 함수를 호출할 때 발생합니다.
• 원리: 해당 함수가 skb->transport_header 값이 설정되었는지 확인하지 않고 참조함에 따라, 헤더가 없는 상태의 skb가 전달될 경우 커널 내 WARN_ON_ONCE 또는 잠재적인 시스템 불안정성을 유발합니다.
• 단계: 특정 조건(CONFIG_DEBUG_NET 활성화 + skb->gso_size 설정 + bpf_prog_test_run 사용 등) 하에서 유효하지 않은 전송 헤더 참조를 통해 커널 경고 및 패닉을 유도하는 흐름입니다.

악용 가능성: 본 취약점은 Linux kernel의 bpf_skb_check_mtu 헬퍼 함수에서 BPF_MTU_CHK_SEGS 플래그 사용 시 transport_header 설정 여부를 검증하지 않아 발생하는 커널 패닉(Panic) 위험을 내포하고 있습니다. 공격 난이도는 Hard로 평가되며, 이는 공격자가 임의의 eBPF 프로그램을 로드하여 실행할 수 있는 권한(PR: High/Low)과 특정 조건의 skb 구조체를 생성해 전달해야 하는 제약 사항 때문입니다. 주요 공격 표면은 네트워크 패킷 처리 경로 상의 eBPF 프로그램 인터페이스이며, 특히 transport_header가 설정되지 않은 특수한 상태의 패킷이 트리거 조건이 됩니다. EPSS 수치는 0.0018로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아, 현재 야생(In-the-wild)에서의 실제 악용 사례는 미관측된 상태입니다. 따라서 이론적인 심각도와 달리 실제 공격 가능성은 매우 희박하며, 일반적인 인그레스 패킷 흐름에서는 skb_reset_transport_header가 수행되어 트리거되기 어렵습니다. 결과적으로 본 취약점은 특정 디버깅 환경이나 특수하게 조작된 eBPF 실행 환경에서만 유효한 제한적인 위험을 가집니다.

• 영향 범위: Linux Kernel (특정 버전 미상). 특히 BPF를 통한 네트워크 패킷 처리 및 MTU 체크 기능을 사용하는 환경이 대상입니다.
• 기술적 위험:
  • 서비스 중단(DoS): 유효하지 않은 메모리 참조로 인해 커널 패닉이 발생할 경우 시스템 전체가 다운되어 가용성이 상실될 수 있습니다.
  • 추정: 일반적인 ingress 패킷은 skb_reset_transport_header를 거치나, 최근 커널 변경 사항(commit 2170a1f09148)으로 인해 이 과정이 생략되는 방향으로 가고 있어 잠재적 노출 가능성이 존재합니다.
• 비즈니스 리스크: 서버 인프라의 예기치 못한 재부팅으로 인한 서비스 중단 및 이에 따른 SLA 위반, 시스템 신뢰도 저하가 예상됩니다.

• 유형: Null Pointer Dereference 또는 Improper Input Validation 패턴에 해당합니다.
• 체이닝 가능성: 단독으로는 DoS 위험이 크며, 다른 권한 상승 취약점과 결합하여 커널 상태를 불안정하게 만드는 용도로 활용될 수 있습니다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 skb_gso_validate_network_len 및 bpf_skb_check_mtu와 관련된 WARNING 또는 Kernel Panic 메시지 패턴을 탐색합니다.
• 패턴 예시: WARNING: CPU: .* at ./include/linux/skbuff.h:3071 skb_gso_validate_network_len

• 근본 해결: skb_transport_header_was_set() 체크 로직이 추가된 최신 Linux 커널 패치를 적용합니다.
• 즉시 조치:
  • 불필요한 BPF 프로그램의 로드 및 실행 권한을 제한하여 공격 표면을 줄입니다.
  • CONFIG_DEBUG_NET 설정 여부를 확인하고, 운영 환경에서는 불필요한 디버그 옵션을 비활성화합니다.

분석 근거: 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.0018(백분위 0.07814)로 매우 낮으며, 이는 실제 야생에서의 악용 가능성이 현시점에서 극히 희박함을 의미합니다. 또한 KEV 미등재 및 exploit 난이도 'hard' 판정을 근거로, 규칙 기반 우선순위를 monitor(모니터링) 단계로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.0018 · exploit=hard · in_scope=None