[분석가] 분석 — CVE-2025-71131

• 심각도 medium · CVSS 5.5 · EPSS 0.00114 · 악용난이도 hard

• 원리: crypto_aead_encrypt 함수 호출 시, 비동기 완료(asynchronous completion)로 인해 하위 요청(request) 객체가 메모리에서 해제될 수 있습니다.
• 경로: 공격자가 로컬 권한으로 해당 기능을 트리거하여, 이미 해제된 req->iv 포인터를 참조(dereferencing)하게 만듭니다.
• 단계: Local Access $\rightarrow$ Trigger crypto_aead_encrypt $\rightarrow$ Asynchronous Free of request $\rightarrow$ Use-After-Free (UAF) via req->iv.

악용 가능성: 본 취약점은 Linux kernel의 crypto: seqiv 모듈 내에서 crypto_aead_encrypt 함수 호출 이후 유효하지 않은 메모리 영역(req->iv)을 참조하는 Use-After-Free(UAF) 특성을 가집니다. 공격 벡터가 Local(AV:L)이며 낮은 권한의 사용자 계정(PR:L)이 필요하므로, 공격자는 이미 시스템에 접근 권한을 가진 상태에서 커널 메모리 오염을 유도해야 합니다. 다만 복잡한 설정 없이 트리거 가능한 AC:L 특성을 가지나, 비동기 완료(Asynchronous completion) 타이밍에 맞춰 정교하게 메모리 레이아웃을 조작해야 하므로 실제 공격 난이도는 Hard로 판정됩니다. 공격 표면은 커널 내 암호화 API를 호출하는 시스템 콜 및 관련 드라이버 인터페이스로 제한적입니다. EPSS 수치가 0.00114로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실제 공격 가능성은 낮은 상태입니다. 결과적으로 본 취약점은 원격 침투보다는 권한 상승(Privilege Escalation)을 목적으로 하는 내부 위협 시나리오에서 제한적으로 악용될 가능성이 있습니다.

• 기술적 위험:
  • 가용성 침해: 유효하지 않은 메모리 주소 참조로 인한 커널 패닉(Kernel Panic) 및 시스템 크래시가 발생하여 서비스 중단으로 이어질 수 있습니다.
  • 추정: 권한 상승: UAF 특성상 메모리 레이아웃 조작이 가능하다면 추정컨대 권한 상승(Privilege Escalation)의 가능성이 있으나, 현재 CVSS 벡터(C:N/I:N/A:H) 기준으로는 가용성 저하가 주된 위험입니다.
• 비즈니스 리스크:
  • 광범위한 노출 규모: 영향 제품 범위가 linux_kernel 2.6.25.1부터 6.18.4까지 매우 광범위하여, 다수의 레거시 시스템 및 최신 배포판이 잠재적 영향권에 있습니다.
  • 서비스 연속성: 서버 가용성이 중요한 인프라 환경에서 예기치 못한 재부팅으로 인한 서비스 다운타임이 발생할 수 있습니다.

• 유형 및 패턴: 전형적인 Use-After-Free(UAF) 패턴입니다. 단독으로는 시스템 크래시를 유발하나, 다른 커널 메모리 누수나 힙 스프레이(Heap Spraying) 기법과 체이닝될 경우 임의 코드 실행으로 이어질 가능성이 있는 유형입니다.

• 커널 로그: KASAN (Kernel Address Sanitizer)이 활성화된 환경에서 use-after-free 관련 커널 덤프 및 스택 트레이스 확인.
• 패턴 예시: crypto: seqiv 모듈 내 req->iv 참조 시점의 메모리 무결성 위반 로그 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여, req->iv 대신 로컬 변수(unaligned_info)를 사용하도록 수정된 코드를 반영하십시오.
• 즉시 조치 및 우선순위:
  • 우선순위: monitor. 다중 소스 데이터 일관성이 확인되었으나, 실측 EPSS 값이 0.00114로 매우 낮고 악용 난이도가 hard이며 KEV에 등재되지 않았으므로 긴급 패치보다는 계획된 유지보수 주기 내 업데이트를 권고합니다.
  • 제한: 로컬 접근이 필요한 취약점이므로, 신뢰할 수 없는 사용자의 시스템 접근 권한을 최소화하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00114 · exploit=hard · in_scope=None