[공격] 분석 — CVE-2024-58086

• 심각도 medium · CVSS 5.5 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건: drm/v3d 드라이버에서 active_perfmon 객체가 파괴될 때, 이를 먼저 중지(stop)시키지 않아 발생하는 Stale Pointer(Dangling Pointer) 참조가 핵심이다. 특정 성능 모니터링 세션을 생성하고 비정상적으로 빠르게 파괴하는 시퀀스를 통해 유발된다.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 v3d 드라이버 활성화 여부 확인 (GPU 하드웨어 존재 여부).
• 초기 접근: 로컬 쉘 권한 획득 (AV:L, PR:L 조건).
• 실행/권한 획득: /dev/dri/cardX 등 DRM 디바이스 노드에 접근하여 perfmon 관련 ioctl 호출 $\rightarrow$ 객체 파괴 유도 $\rightarrow$ Stale Pointer를 통한 메모리 오염 시도. (추정: 단순 Crash를 넘어 권한 상승을 위해서는 정교한 Heap Spraying 필요).
• 영향: 커널 패닉(Kernel Panic) 유발 또는 추정되는 메모리 변조를 통한 임의 코드 실행.

(3) 공격 표면:

• 엔드포인트: /dev/dri/cardX (DRM 디바이스 파일).
• 인터페이스: DRM v3d 드라이버의 perfmon 관리 함수 및 관련 ioctl 파라미터.

(4) CVSS 벡터 연결: AV:L/PR:L은 공격자가 이미 시스템에 로그인한 상태여야 함을 의미하며, UI:N은 사용자 상호작용 없이 커널 API 호출만으로 트리거 가능함을 뜻한다. A:H는 이 결함이 주로 가용성 파괴(System Crash)로 이어짐을 시사한다.

악용 가능성: 본 취약점은 Linux kernel의 drm/v3d 드라이버 내에서 Performance Monitor(perfmon) 객체 파괴 시 활성 상태를 먼저 정지시키지 않아 발생하는 Use-After-Free(UAF) 유형의 결함입니다. 공격 벡터가 AV:L 및 PR:L인 점으로 보아, 공격자는 이미 시스템에 로그인하여 장치 파일( /dev/dri/cardX)에 접근할 수 있는 일반 사용자 권한을 확보해야 하는 전제조건이 필요합니다. 공격 표면은 GPU 성능 모니터링과 관련된 커널 API 및 관련 ioctl 인터페이스이며, 특정 시점에 perfmon 객체를 생성하고 파괴하는 정교한 레이스 컨디션(Race Condition) 유도가 트리거 조건이 됩니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 것은 실제 야생(In-the-wild)에서 무기화된 사례가 드물며, 커널 메모리 레이아웃을 정밀하게 제어해야 하는 높은 공격 난이도(hard)를 반영합니다. 하지만 성공 시 stale pointer를 이용해 커널 공간의 임의 주소에 접근하거나 실행 흐름을 변조할 수 있어, 로컬 권한 상승(LPE)으로 이어질 가능성이 있는 실전적 위협입니다.

(1) 기술적 위험:

• 시스템 불안정 및 서비스 중단(DoS): Stale Pointer 참조로 인한 Kernel Panic 발생 가능성이 매우 높다.
• 추정: 메모리 레이아웃 제어가 가능하다면 커널 권한의 임의 코드 실행으로 이어질 수 있으나, 난이도가 매우 높음.

(2) 비즈니스 영향:

• 가용성 저하: GPU 가속을 사용하는 워크로드(AI/ML 추론, 그래픽 작업 등)가 구동 중인 서버의 갑작스러운 다운타임 발생.
• 신뢰도 하락: 인프라 수준의 불안정성으로 인한 서비스 SLA 미준수 위험.

• 체이닝 경로: (추정) 정보 노출(KASLR 우회) $\rightarrow$ CVE-2024-58086 (UAF/Stale Pointer) $\rightarrow$ 권한 상승(LPE).
• 유형 분석: 본 취약점은 전형적인 Use-After-Free(UAF) 패턴이다. 단독으로는 시스템 크래시를 일으키는 DoS에 그칠 가능성이 높으나, 다른 커널 메모리 누수 결함과 체이닝될 경우 파괴된 객체의 메모리 영역을 공격자가 제어하는 객체로 덮어써서 함수 포인터를 조작하는 방식으로 권한 상승을 시도할 수 있다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log 내의 v3d 관련 Segmentation Fault, General Protection Fault, 또는 Kernel Oops 메시지.

(2) 탐지 규칙 예시:

• Logic: 동일 사용자 세션에서 짧은 시간 내에 반복적인 DRM 디바이스(cardX) 접근 및 비정상적 종료 패턴 감시.
• SIEM 쿼리(의사코드): SELECT user, timestamp FROM kernel_logs WHERE message MATCHES "v3d" AND (message CONTAINS "Oops" OR message CONTAINS "invalid opcode")

(3) 오탐 시나리오: GPU 드라이버 자체의 버그나 하드웨어 결함으로 인한 자연적인 크래시.

• 튜닝: 특정 사용자 계정이 반복적으로 동일한 메모리 주소 오류를 발생시키는지 빈도 분석을 통해 구분.

• 즉시(긴급 차단): v3d 드라이버가 필요 없는 환경이라면 모듈 로드 차단 (modprobe -r v3d 또는 /etc/modprobe.d/blacklist.conf에 추가). [난이도: 하 / 영향: GPU 가속 불가 / 검증: lsmod | grep v3d 확인]
• 단기(완화): 일반 사용자의 /dev/dri/cardX 접근 권한 제한 (udev 규칙 수정 또는 그룹 권한 조정). [난이도: 중 / 영향: 일부 그래픽 애플리케이션 실행 불가 / 검증: ls -l /dev/dri/ 확인]
• 근본(해결): 영향 받는 커널 버전에서 패치된 최신 버전으로 업데이트 (예: 6.12.17+, 6.6.80+ 등 해당 브랜치의 수정 버전). [난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r로 버전 확인]

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00171)과 백분위(0.06834)를 근거로 실제 악용 가능성이 매우 낮음(hard)을 확인했다. 이에 따라 CVSS 5.5의 이론적 수치보다 낮은 'monitor' 우선순위를 부여하였으며, 이는 KEV 미등재 및 로컬 권한 필요 조건에 따른 규칙 기반 결정이다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None