[분석가] 분석 — CVE-2025-40214

• 심각도 미상 · CVSS 미상 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건: unix_add_edge() 함수 내에서 scc_index가 초기화되지 않은 상태로 AF_UNIX 소켓 간의 엣지가 추가될 때 발생합니다. 특히 순환 참조를 포함한 복잡한 소켓 구조에서 Garbage Collection(GC)이 실행될 때, 초기화되지 않은 인덱스 값으로 인해 살아있는 소켓의 수신 큐가 잘못하게 회수(Collect)되는 결함입니다.

(2) 공격 단계:

• 준비: 다수의 소켓을 생성하여 단일 순환 참조 구조를 형성하고 close() 및 GC를 트리거합니다.
• 상태 조작: Embryo 소켓과 자기 참조 소켓(sk-X)을 활용해 unix_graph_grouped와 unix_graph_maybe_cyclic 상태를 true로 설정합니다.
• 실행: accept() 및 unix_add_edge()를 통해 새로운 정점을 추가하되, scc_index가 초기화되지 않은 틈을 타 GC를 다시 트리거하여 유효한 소켓의 메모리를 해제시킵니다.
• 결과: 추정: Use-After-Free(UAF) 상태가 되어 커널 패닉 또는 권한 상승 시도가 가능해집니다.

(3) 공격 표면: Linux Kernel AF_UNIX (Unix Domain Sockets). 로컬 시스템 내에서 소켓을 생성하고 조작할 수 있는 권한이 필요합니다.

(4) CVSS 벡터 연결:

• AV: Local (로컬 소켓 조작 필요)
• AC: High (특정 순서의 소켓 상태 조작 및 GC 트리거 필요)
• PR: Low/Medium (일반 사용자 권한으로 소켓 생성 가능)
• UI: None

악용 가능성: 본 취약점은 Linux kernel의 af_unix 모듈 내 가비지 컬렉션(GC) 로직 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 Local 권한(PR:L)이 필요하며, 단순한 패킷 전송이 아닌 세 단계에 걸친 정교한 소켓 참조 구조 생성과 특정 시점의 GC 트리거라는 까다로운 전제조건을 충족해야 하기 때문입니다. 공격 표면은 로컬 시스템 내 AF_UNIX 프로토콜을 사용하는 엔드포인트 및 소켓 간 연결 파라미터에 국한됩니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점 존재 여부와 별개로 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 결과적으로 공격자가 커널 내부의 scc_index 초기화 미비점을 이용해 유효한 소켓을 잘못 수거하도록 유도해야 하므로, 실행 가능성은 낮으나 성공 시 커널 패닉이나 권한 상승으로 이어질 수 있는 잠재적 위험을 가집니다.

(1) 기술적 위험: AF_UNIX GC 과정에서 유효한 메모리가 해제됨에 따라 추정: Use-After-Free(UAF)가 발생합니다. 이는 커널 메모리 오염으로 이어져 시스템 크래시(DoS)를 유발하거나, 정교하게 설계된 페이로드를 통해 커널 권한 상승(LPE)으로 이어질 수 있습니다.
(2) 비즈니스 영향: 서버 가용성 중단 및 시스템 전체 제어권 상실 위험이 존재합니다. 다만, 공격 난이도가 높고 로컬 접근이 전제되어 외부 노출 규모는 제한적입니다.

• 추정: CWE-416 (Use-After-Free) 유형에 해당합니다.
• 체이닝 패턴: [로컬 사용자 권한 획득] $\rightarrow$ [AF_UNIX UAF 트리거] $\rightarrow$ [커널 메모리 레이아웃 조작] $\rightarrow$ [권한 상승(Privilege Escalation)] 순으로 이어지는 전형적인 커널 익스플로잇 체인이 추정됩니다.

(1) 로그 지표: 일반적인 애플리케이션 로그에는 남지 않으며, 커널 덤프(dmesg, /var/log/syslog)에서 AF_UNIX 관련 Kernel Panic 또는 General Protection Fault 등의 메모리 오류 메시지가 관측될 수 있습니다.

(2) 탐지 규칙 예시:

• 로직: 짧은 시간 내에 비정상적으로 많은 수의 Unix Domain Socket 생성 및 삭제, 특히 순환 참조를 유발하는 소켓 연결 패턴 모니터링.
• SIEM/Auditd: auditd를 통해 socket(AF_UNIX, ...) 시스템 콜의 빈도를 추적하고, 특정 프로세스가 비정상적인 수의 소켓을 생성·파괴하는지 감시.

(3) 오탐 시나리오: 고성능 IPC를 사용하는 정상적인 애플리케이션이 다수의 Unix 소켓을 빠르게 생성/삭제할 때 발생할 수 있습니다. 화이트리스트 기반으로 신뢰할 수 있는 바이너리를 제외하여 튜닝해야 합니다.

• 즉시(긴급 차단): 불필요한 로컬 사용자의 쉘 접근을 제한하고, 비신뢰 프로세스의 실행 권한을 최소화합니다. (난이도: 하 / 영향: 낮음 / 검증: who, last 확인)
• 단기(완화): 커널 파라미터나 보안 모듈(SELinux, AppArmor)을 통해 소켓 생성 및 조작 권한을 엄격히 제어합니다. (난이도: 중 / 영향: 중간 / 검증: 정책 적용 후 기능 테스트)
• 근본(해결): unix_add_edge()에서 scc_index를 적절히 초기화하는 패치가 포함된 최신 Linux 커널 버전으로 업데이트합니다. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r로 버전 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 AF_UNIX GC의 논리적 결함을 확인하였으며, 소스 간 일관성이 확인되었습니다. 실측 EPSS 값은 0.00171(백분위 0.06673)로 매우 낮아 야생에서의 실제 악용 가능성은 현재 낮은 수준입니다. 이에 따라 CVSS 미상, non-KEV, exploit=hard 조건을 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None