[단독방어] 분석 — CVE-2026-31682

• 심각도 critical · CVSS 9.1 · EPSS 0.00485 · 악용난이도 moderate

브리지 인터페이스를 통해 전송되는 IPv6 Neighbor Discovery(icmpv6 type 135/136) 패킷이 비선형(skb non‑linear) 형태일 경우, br_nd_send() 가 옵션 영역을 바로 파싱하면서 커널 메모리 경계를 초과해 읽기/쓰기 오류를 일으킨다. 공격자는 조작된 ND 패킷을 전송해 커널 panic 혹은 임의 코드 실행을 유도할 수 있다.

악용 가능성: 이 취약은 네트워크를 통해 직접 접근할 수 있는(AV:N) IPv6 인접 탐색(ICMPv6 Neighbor Solicitation) 패킷을 조작하면 악용이 가능하므로, 원격 공격자가 별도의 인증 없이( PR:N ) 바로 시도할 수 있습니다. 복잡도가 낮은( AC:L ) 조건으로는 옵션 필드가 비선형(skb non‑linear) 상태인 패킷을 전송하는 것뿐이며, 사용자 개입(UI:N)이 전혀 필요하지 않으므로 자동화된 스캔·공격이 현실적으로 이루어질 수 있습니다. EPSS 점수 0.00485는 현재 관측된 실제 공격 사례가 극히 드물지만 존재함을 의미하고, KEV 목록에 등재되지 않은 것은 아직 광범위하게 악용된 사례가 없다는 뜻이지만 위험도가 이론적 심각도와 별개로 완전히 무시될 수 없음을 보여줍니다. 공격 표면은 브리지를 구성한 Linux 커널의 IPv6 스택으로, 모든 브리지 인터페이스에 노출되는 ICMPv6 헤더·목표 주소는 정상적으로 전달되지만 옵션 영역이 비선형일 경우 파싱 로직이 선형 버퍼를 넘어서는 메모리에 접근하게 됩니다. 따라서 공격자는 임의 길이와 구조를 가진 ND 옵션을 포함한 패킷을 전송해 커널 메모리 오염·정보 누출 또는 서비스 거부(DoS)를 유발할 수 있습니다. 이 조건은 네트워크 경계에서 IPv6 라우터 광고·프록시 등을 운영하는 환경이면 누구나 마주칠 수 있는 일반적인 상황이며, 별도의 내부 방어 메커니즘이 없을 경우 바로 활용될 가능성이 존재합니다.

• 성공 시 커널 패닉 → 서비스 중단(Denial‑of‑Service)
• 메모리 오버플로우가 성공하면 특권 수준에서 임의 코드를 실행하여 시스템 전체 장악 가능(Privilege Escalation)
• 영향을 받는 커널 버전이 광범위하므로 다수의 서버·컨테이너에 동일한 위험이 존재한다.

추정: 비선형 skb 파싱 오류와 유사하게 “skb linearization”을 제대로 수행하지 못하는 다른 네트워크 스택 버그(CWE‑119, CWE‑20 등)와 결합될 경우, 원격 코드 실행 체인에 활용될 수 있다. 또한 IPv6 ND 처리 로직을 변조하는 공격(예: DHCPv6/RA spoofing)과 연계하면 권한 상승이나 네트워크 분할 회피가 가능하다.

• 로그 지표

  • kernel 로그에 “br_nd_send” 혹은 “skb linearization failed” 문자열이 포함된 OOPS 메시지.
  • dmesg 에서 icmp6: ND packet 뒤에 비정상적인 len= 값(예: >128 bytes) 기록.

• SIEM 쿼리 예시 (Elastic/Kibana DSL)

 1{
 2  "bool": {
 3    "must": [
 4      { "match_phrase": { "message": "br_nd_send" } },
 5      { "regexp":   { "message": "len=([9][0-9]{2,}|[1-9][0-9]{3,})" } }
 6    ],
 7    "filter": [
 8      { "range": { "@timestamp": { "gte": "now-5m" } } }
 9    ]
10  }
11}

• 정규식 기반 IDS 룰 (Suricata/YAML)

 1alert icmp any any -> any any (msg:"Potential br_nd_send OOB read"; \
 2   icmp_type:135; content:"|ff ff ff ff ff ff|"; offset:0; depth:6; \
 3   pcre:"/.{0,20}\x00\x00\x00\x00.{0,20}/R"; sid:1000001;)

위 룰은 비정상적인 옵션 영역이 포함된 Neighbor Solicitation 패킷을 탐지한다.

• 오탐 튜닝
  • 정상적인 대규모 IPv6 ND 트래픽(예: 데이터센터 자동 구성)에서는 len 값이 128 bytes 이하인 경우만 허용하도록 정규식 범위를 제한.
  • 브리지 인터페이스가 아닌 일반 라우터 인터페이스에서 발생하는 동일 패턴은 iface_type != bridge 조건으로 제외.

우선순위 근거

• 다중 소스에서 일관성이 확인된 CVE-2026-31682(교차검증) → 신뢰도 1.0.
• EPSS 0.00485(실측)·moderate exploitation 예측이 존재하지만, CVSS 9.1·non‑KEV·광범위한 영향 제품군 때문에 “이번 주 내” 일정으로 높은 우선순위가 부여됨([우선순위 결정]).

인시던트 대응 플레이북 (간단 버전)

1. dmesg | grep br_nd_send 로 최근 OOPS 여부 확인
2. SIEM/IDS 에서 위 탐지 규칙이 트리거되면 해당 호스트를 격리하고, 즉시 **긴급 차

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00485 · exploit=moderate · in_scope=None