[단독공격] 분석 — CVE-2024-26783

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

• 트리거 조건
  • 시스템이 NUMA 환경이며 numa_balancing이 활성화된 상태.
  • 특정 NUMA 노드에 로컬 메모리가 없어 관리 영역(zone)이 존재하지 않을 때 커널의 메모리 회수 스레드(kswapd)가 wakeup_kswapd()를 호출하면서 zone 인덱스가 -1로 전달됨.
• 공격 표면
  • 로컬 프로세스가 메모리를 할당/해제하며 커널의 vmscan 경로에 진입할 수 있는 권한이면 충분 (일반 사용자 계정).
  • 직접적인 네트워크·프로토콜 인터페이스는 없으며, AV:L / AC:L / PR:L / UI:N 벡터와 일치.
• 단계 흐름
  1. 정찰 – /proc/cpuinfo, numactl --hardware 등으로 NUMA 토폴로지를 확인하고, cat /proc/sys/kernel/numa_balancing 로 균형 기능 여부 파악.
  2. 초기 접근 – 일반 사용자 권한으로 메모리 할당(예: malloc, mmap)을 수행해 커널이 페이지 회수 경로에 진입하도록 유도.
  3. 실행·권한 획득 – 위 조건이 충족되면 커널 내부에서 잘못된 인덱스로 wakeup_kswapd()가 호출되어 OOPS 발생 → 시스템 크래시(Availability).
  4. 지속/영향 – 재부팅 전까지 서비스 중단, 로그에 OOPS 기록 남음; 추가적인 권한 상승은 직접 제공되지 않으나 서비스 거부(DoS) 자체가 공격 목표가 될 수 있음.
• 관측 지표
  • dmesg//var/log/kern.log에 “BUG: unable to handle page fault… wakeup_kswapd”와 함께 zone index = -1 로그.

악용 가능성: AV가 L(로컬)이고 AC가 L(낮은 복잡도)이므로, 공격자는 이미 로컬 시스템에 접근할 수 있다면 특별한 권한 상승 절차 없이도 취약 코드를 실행할 수 있습니다. PR이 L인 점은 일반 사용자 계정만으로도 해당 커널 경로를 호출할 수 있음을 의미하며, UI가 N이라서 별도의 사용자의 행동을 유발하지 않아도 된다는 것을 뜻합니다. 실제 트리거 조건은 NUMA‑balancing이 활성화된 상태에서 메모리가 할당되지 않은 NUMA 노드가 존재하고, 페이지 할당·해제 과정 중 wakeup_kswapd()가 잘못된 zone index(−1)로 호출될 때 발생하므로, 공격자는 numactl 등으로 해당 노드를 선택하거나 메모리 부족 상황을 인위적으로 만들면 Oops를 유발할 수 있습니다. 이때 노출되는 공격 표면은 페이지 폴트 처리 경로와 wakeup_kswapd() 함수이며, mmap·munmap·fork·exec 등의 일반적인 시스템 콜이 이를 간접적으로 호출합니다. EPSS가 0.00242인 것은 현재까지 보고된 실제 악용 사례가 매우 적다는 의미지만, 로컬 권한만 있으면 복잡도는 낮고 재현 가능성이 존재하므로 표적 환경에서는 실전 위협으로 간주됩니다. KEV에 등재되지 않은 점은 대규모 공격보다는 제한된 내부자·침해 후 단계에서 활용될 가능성이 높아, 방어자는 해당 커널 설정과 NUMA 구성을 주의 깊게 검토해야 합니다.

• 성공 시 커널 패닉으로 시스템이 즉시 재부팅되거나 멈추어 가용성(Availability) 전면 손실 발생.
• 기밀성·무결성은 직접적인 영향을 받지 않음(CVSS C/I = N).

• 유형: 커널 메모리 관리 오류 → OOPS/DoS (CWE‑?? 미분류)
• 가능한 체인
  • 동일 호스트에 존재하는 다른 로컬 권한 상승(LPE) 취약점과 결합하면, DoS 이후 재부팅 시 자동 실행되는 악성 스크립트를 삽입해 권한 상승 → 원격 코드 실행을 완성할 수 있음.
  • 추정: CVE‑2024‑xxxxx(예: 커널 메모리 풀 오버플로)와 연계하면, 먼저 DoS를 유발해 시스템 재시작 시 취약 패치를 적용하지 못하게 만든 뒤, 다른 LPE를 이용해 지속성을 확보할 수 있음.

• 로그 기반
  • dmesg·/var/log/kern.log에 “wakeup_kswapd”와 함께 “zone index = -1” 또는 “BUG: unable to handle page fault for address” 문구가 나타나는 경우 경보.
• 시스템 상태
  • 갑작스러운 커널 패닉·재부팅 이벤트, systemd의 kernel-panic 서비스 재시작 기록.

• 패치 적용 – 영향을 받는 커널 버전(5.18‑6.6.22, 6.7‑6.7.9)으로 업데이트; 최신 배포판에서는 이미 수정됨.
• NUMA 균형 비활성화 (임시 방편)
  text복사

   1echo 0 > /proc/sys/kernel/numa_balancing

⚖️ 위험도 / 우선순위

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None