[분석가] 분석 — CVE-2025-21913

• 심각도 medium · CVSS 5.5 · EPSS 0.00191 · 악용난이도 hard

(1) 트리거 조건: AMD CPU 기반의 Xen 가상화 환경에서 게스트 OS가 MSR_FAM10H_MMIO_CONF_BASE (0xc0010058) MSR에 접근을 시도할 때 발생합니다. Xen 하이퍼바이저가 해당 MSR 접근을 허용하지 않을 경우, 커널 내 amd_get_mmconfig_range() 함수에서 예외(Warning)가 트리거됩니다.
(2) 공격 단계:

• 정찰 및 초기접근: 로컬 권한(PR:L)을 가진 사용자가 시스템에 접근합니다.
• 실행: 특정 하드웨어 구성(AMD + Xen)에서 커널의 MSR 읽기 동작을 유도합니다.
• 영향: rdmsr 호출 실패로 인한 커널 워닝 발생 및 추정: 시스템 불안정성 초래.
  (3) 공격 표면: x86 AMD 아키텍처의 Model Specific Register (MSR) 인터페이스입니다.
  (4) CVSS 벡터 연결:
• AV:L: 로컬 접근이 필요합니다.
• AC:L: 특정 하드웨어/하이퍼바이저 환경만 갖춰지면 공격 난이도는 낮습니다.
• PR:L: 낮은 수준의 권한이라도 커널 인터페이스에 영향을 줄 수 있는 상태여야 합니다.
• UI:N: 사용자 상호작용은 필요하지 않습니다.

악용 가능성: 본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 이미 시스템에 낮은 권한(PR:L)으로 진입하여 로컬 환경에서 실행 가능한 상태여야 함을 전제로 합니다. 공격 표면은 Linux 커널의 x86 AMD 플랫폼 관련 amd_nb 모듈 내 amd_get_mmconfig_range() 함수이며, 구체적으로는 MSR(Model Specific Register) 접근 과정에서의 예외 처리 미비가 트리거 조건입니다. 특히 Xen 가상화 환경에서 특정 Guest가 MSR_FAM10H_MMIO_CONF_BASE에 접근할 수 없을 때 발생하는 커널 경고 및 불안정성이 핵심입니다. EPSS 수치가 0.00191로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 취약점 존재 여부와 별개로 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 따라서 로컬 권한 획득이라는 전제 조건과 가상화 환경이라는 특정 제약 사항으로 인해 공격 난이도는 hard로 판정되며, 즉각적인 대규모 악용 가능성은 낮을 것으로 분석됩니다.

(1) 기술적 위험: 하이퍼바이저가 제공하지 않는 MSR 접근 시 unchecked MSR access error 워닝이 발생하며, 이는 커널 로그를 오염시키거나 추정: 특정 상황에서 시스템 가용성에 영향을 줄 수 있는 서비스 중단(A:H) 위험을 내포합니다.
(2) 비즈니스 영향:

• 가용성: Xen 기반 클라우드/가상화 인프라에서 AMD CPU를 사용할 경우, 커널 패닉이나 예기치 않은 재부팅으로 인한 서비스 다운타임이 발생할 수 있습니다.
• 규모: 영향을 받는 Linux Kernel 버전 범위(6.1~6.13 일부)가 넓어 해당 환경을 사용하는 엔터프라이즈 가상화 서버들이 잠재적 영향권에 있습니다.

추정: 본 취약점은 단독으로 권한 상승이나 데이터 유출을 일으키기보다는, 커널의 예외 처리 미흡으로 인한 서비스 거부(DoS) 패턴에 가깝습니다. 추정: 다른 로컬 권한 상승(LPE) 취약점과 체이닝되어 시스템 불안정성을 유도하거나, 커널 덤프를 통해 메모리 정보 노출을 시도하는 경로로 이용될 가능성이 있습니다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log에서 unchecked MSR access error: RDMSR from 0xc0010058 패턴의 문자열을 확인합니다.
(2) 탐지 규칙 예시:

• 로직: grep -E "unchecked MSR access error: RDMSR from 0xc0010058" /var/log/syslog
• SIEM 쿼리 형태: index=linux_logs message="*unchecked MSR access error*" AND message="*0xc0010058*"
  (3) 오탐 시나리오 및 튜닝: Xen 환경에서 정상적인 하드웨어 초기화 과정 중 발생하는 일시적 워닝일 수 있습니다. 특정 프로세스(pnpacpi_init 등)와 연계되어 반복적으로 발생하는지 임계값을 설정하여 탐지합니다.

• 즉시(긴급 차단): 해당 취약점은 하드웨어/하이퍼바이저 상호작용 문제이므로 소프트웨어 설정만으로 즉각 차단하기 어렵습니다. 영향 범위인 AMD+Xen 환경 여부를 우선 전수 조사하십시오. (난이도: 저 / 운영영향: 없음)
• 단기(완화): 불필요한 커널 모듈 로드를 제한하거나, 시스템 로그 모니터링을 강화하여 이상 징후를 조기에 발견합니다. (난이도: 중 / 운영영향: 낮음)
• 근본(해결): rdmsr_safe()가 적용된 수정 버전의 Linux Kernel로 업데이트하십시오.
  • 대상 버전: 6.1.132+, 6.6.84+, 6.12.20+, 6.13.8+ (영향 제품 범위 기준 업데이트 필요)
  • 검증 방법: 커널 업데이트 후 uname -r로 버전 확인 및 Xen 게스트 환경에서 MSR 접근 워닝 발생 여부를 재검토합니다. (난이도: 중 / 운영영향: 재부팅 필요)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00191, 백분위 0.09057)이 매우 낮고 KEV에 등재되지 않았으며 공격 난이도가 'hard'로 분류된 점을 근거로 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00191 · exploit=hard · in_scope=None