[분석가] 분석 — CVE-2025-22090

• 심각도 medium · CVSS 5.5 · EPSS 0.00189 · 악용난이도 hard

(1) 트리거 조건: fork() 시스템 콜 호출 중 copy_page_range() 함수 내에서 track_pfn_copy()가 실패하여 프로세스 복제가 중단될 때 발생합니다.
(2) 공격 단계:

• 초기 접근: 로컬 사용자 권한으로 시스템에 접속 (PR:L).
• 실행: 메모리 압박 상황 등을 유도하여 fork() 시 track_pfn_copy()가 실패하도록 트리거합니다.
• 결함 발생: VM_PAT 플래그가 설정된 상태에서 페이지 테이블 복제 없이 cleanup 단계로 진입하면, untrack_pfn()이 존재하지 않는 페이지 테이블에서 PAT 정보를 읽으려 시도합니다.
• 영향: 커널 패닉(Kernel Panic)으로 인한 시스템 중단이 발생합니다.
  (3) 공격 표면: Linux Kernel의 메모리 관리 서브시스템 (x86/mm/pat).
  (4) CVSS 벡터 분석: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요). 즉, 시스템에 계정을 가진 일반 사용자가 특수하게 조작된 프로세스 생성 시도를 통해 가용성을 저해할 수 있는 구조입니다.

악용 가능성: 본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 이미 시스템에 낮은 권한(PR:L)으로 접근하여 로컬 환경에서 실행 가능한 코드를 통해 트리거해야 하므로 공격 난이도는 Hard로 판정됩니다. 공격 표면은 Linux 커널의 메모리 관리 서브시스템 내 copy_page_range() 함수이며, 특히 fork() 시스템 콜 과정 중 track_pfn_copy()가 실패하는 특정 예외 상황에서 VM_PAT 플래그 처리가 미흡한 지점이 트리거 조건이 됩니다. 이는 페이지 테이블이 복사되지 않은 상태에서 커널이 PAT(Page Attribute Table) 정보를 참조하려 할 때 발생하는 메모리 관리 오류를 악용하는 구조입니다. EPSS 수치는 0.00189로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않아, 현재 야생에서의 실제 악용 사례는 미관측된 상태입니다. 따라서 이론적인 커널 패닉이나 메모리 오염 가능성은 존재하나, 정교한 타이밍과 특정 조건의 실패를 유도해야 한다는 점에서 즉각적인 대규모 악용 가능성은 낮을 것으로 분석됩니다.

(1) 기술적 위험: 서비스 중단 (DoS). 커널 메모리 관리 오류로 인한 시스템 크래시가 발생하며, 이는 전체 OS의 정지로 이어집니다. 데이터 유출이나 권한 상승에 대한 근거는 확인되지 않았습니다.
(2) 비즈니스 영향: 해당 커널 버전을 사용하는 서버 및 인프라의 가용성 저하. 특히 멀티테넌트 환경에서 일반 사용자 계정이 시스템 전체를 다운시킬 수 있다는 점에서 서비스 안정성에 리스크가 있습니다. 영향 범위가 Linux Kernel 2.6.29부터 6.14.2까지 매우 광범위하여 잠재적 노출 규모가 큽니다.

• 추정: 본 취약점은 단독으로 시스템 가용성을 파괴하는 DoS 유형입니다. 다만, 커널 패닉을 유도하여 특정 보안 솔루션을 무력화하거나, 재부팅 과정에서 발생하는 초기화 취약점을 이용해 권한 상승으로 이어지는 체이닝 가능성이 추정되나 구체적인 경로 확인은 되지 않았습니다.

(1) 로그 지표: /var/log/syslog 또는 dmesg 내의 Kernel Panic 덤프, 특히 untrack_pfn 혹은 VM_PAT 관련 Null pointer dereference 또는 Page fault 메시지를 확인합니다.
(2) 탐지 규칙 예시:

• 로직: dmesg 로그에서 "Unable to handle kernel paging request"와 함께 copy_page_range 또는 untrack_pfn 함수 호출 스택이 포함된 패턴을 탐지.
• 정규식 예시: /(VM_PAT|untrack_pfn).*kernel panic/i
  (3) 오탐 시나리오: 하드웨어 결함이나 다른 커널 버그로 인한 무작위 패닉과 구분하기 어렵습니다. 특정 사용자가 짧은 시간 내에 반복적으로 fork() 실패를 유발하는 패턴이 동반되는지 확인하여 튜닝해야 합니다.

• 즉시 (긴급 차단): 제한된 사용자 환경(Container, Jail)에서 리소스 제한(ulimit -u)을 설정하여 프로세스 생성 수를 엄격히 제한함으로써 대량의 fork() 시도를 억제합니다. (난이도: 저 / 영향: 서비스별 상이 / 검증: ulimit 설정 확인)
• 단기 (완화): 시스템 모니터링 도구를 통해 비정상적인 커널 패닉 발생 여부를 실시간 감시하고, 이상 징후 발견 시 해당 계정을 격리합니다. (난이도: 중 / 영향: 낮음 / 검증: 알림 수신 테스트)
• 근본 (해결): 영향을 받는 버전(2.6.29 ~ 6.14.2 등)에서 수정 사항이 반영된 최신 커널로 업데이트합니다. 특히 VM_PAT 플래그 설정 시점을 예약 성공 이후로 변경한 패치를 적용해야 합니다. (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 가용성 저하 / 검증: uname -r 버전 확인)

[파이프라인 근거] 본 분석은 다중 소스 데이터의 일관성이 확인된 교차검증 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. EPSS 실측값 0.00189는 이론적 심각도(CVSS 5.5)와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 의미하며, KEV 미등재 및 로컬 권한 필요 조건(AV:L)을 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00189 · exploit=hard · in_scope=None