[단독방어] 분석 — CVE-2025-71114

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

VIA watchdog 드라이버(via_wdt)가 allocate_resource() 호출 시 리소스에 이름을 지정하지 않아 x86 부팅 과정에서 /proc/iomem 에 “<BAD>” 라벨이 남는다. 커널이 해당 엔트리를 조회·충돌 검사할 때 실패하면 부팅이 영구 정지한다. 로컬 권한(또는 부팅 옵션을 조작 가능한 상황)만 있으면 모듈을 강제로 로드해 DoS를 유발할 수 있다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 로컬 환경에서 낮은 복잡도로 저권한(예: 일반 사용자)만으로도 공격이 가능함을 의미하지만, 실제로는 커널 부팅 시점에 VIA watchdog 드라이버가 allocate_resource()를 호출해 이름 없는 MMIO 영역을 등록하는 과정이 트리거되어야 합니다. 따라서 공격자는 시스템 재부팅을 강제하거나 커널 모듈 로딩·파라미터 조작을 통해 해당 코드 경로에 진입해야 하며, 이는 물리적 접근이나 루트 권한 획득이 전제되는 상황으로 실질적인 난이도가 높아 “hard” 등급이 부여됩니다. EPSS 0.00123이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 이 취약점이 실제 공격에 활용된 사례가 거의 없으며, 위협 인식 수준이 낮다는 것을 뒷받침합니다. 트리거 조건은 /proc/iomem에 “<BAD>” 엔트리가 생성되는 부팅

• 가용성: 부팅 단계에서 시스템이 멈추어 전체 서비스가 중단된다.
• 범위: Linux kernel 3.3.1 ~ 6.18.3 버전(다중 배포판) 중 VIA watchdog 드라이버가 포함된 모든 x86 시스템에 적용된다.
• 잔여 리스크: 패치 전까지는 <BAD> 엔트리가 존재하면 부팅마다 재현될 수 있다.

리소스 할당 오류는 과거 PCIe BAR 충돌(CVE‑2023‑xxxx)과 유사한 “resource tree corruption” 패턴을 보이며, 동일 시스템에 복수의 리소스 관리 버그가 존재할 경우 부팅 실패 가능성이 누적될 수 있다. 현재 알려진 직접적인 체이닝 CVE는 없으며 독립적인 DoS 역할을 한다.

• 로그 지표

  • dmesg·/var/log/kern.log에 “<BAD>” 혹은 “VIA watchdog: resource allocation failed” 문자열.
  • /proc/iomem 내용이 변동하여 ^[0-9a-f]+-[0-9a-f]+ : <BAD>$ 형태의 라인이 추가될 때.

• SIEM 규칙 예시

  Splunk

  text복사

   1index=linux_logs sourcetype=kern
   2("<BAD>" OR "VIA watchdog")
   3| eval via = if(searchmatch("via_wdt"),1,0)
   4| where via=1
   5| stats count by host _time
   6| where count>0

  ELK (Logstash Grok)

  text복사

   1%{HEXADDR:start_addr}-%{HEXADDR:end_addr}\s+:\s+<BAD>

  → if [host] =~ /test-.*/ { drop {} } 로 테스트 호스트는 제외.

• 오탐 튜닝

  • 일부 커스텀 드라이버가 <BAD> 라벨을 사용할 수 있으므로, driver="via_wdt" 혹은 module="via_wdt" 조건을 추가한다.
  • 정상 부팅 시 짧은 시간(≤5 s) 내에 해당 문자열이 나타나면 무시하도록 임계시간을 설정한다.

• 즉시(긴급 차단)

  • /etc/modprobe.d/blacklist.conf에 blacklist via_wdt 를 추가하고 dracut --force(또는 update-initramfs -u) 로 initramfs를 재생성한 뒤 재부팅한다.
    • 난이도: ★★ (파일 편집·재빌드)
    • 운영 영향: VIA watchdog 기능 전면 차단 → 하드웨어 watchdog을 별도로 운영해야 함.
    • 검증: 부팅 후 lsmod | grep via_wdt 가 빈 출력인지 확인.

• 단기(완화)

  • 커널 부팅 옵션에 watchdog=0 또는 nowatchdog 를 추가해 전체 watchdog 서브시스템을 비활성화한다.
    • 난이도: ★ (GRUB 설정 수정)
    • 운영 영향: 시스템 자체 자동 재부팅 보호 기능 상실 → 모니터링 및 외부 하드웨어 watchdog 도입 필요.
    • 검증: cat /proc/sys/kernel/watchdog 가 0인지 확인.

• 근본(해결)

  • 배포판 제공 패치를 적용한다. 해당 취약은 Linux kernel 6.2 이상에서 이름이 지정된 리소스로 수정되었으며, 각 배포판의 보안 업데이트(예: yum update kernel, apt-get install --only-upgrade linux-image-<ver>)를 수행한다.
    • 난이도: ★★★ (패키지 관리·재부팅)
    • 운영 영향: 재부팅 필요, 패치 적용 전후 커널 버전 확인 필수.
    • 검증: uname -r 로 최신 커버된 버전을 확인하고, /proc/iomem 에 <BAD> 엔트리가 사라졌는지 검증.

• 잔여 리스크 관리

  • 패치 적용 전까지 위 즉시 차단·단기 완화 조치를 병행하고, 시스템 부팅 시 systemd-analyze blame 로 비정상 지연을 모니터링한다.
  • EPSS 0.00123(실측 악용 확률)과 CVSS 5.5를 고려해 “monitor” 수준의 우선순위이지만, 부팅 가용성 위험이 크므로 즉시 차단을 권고한다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None