[단독분석] 분석 — CVE-2024-57977

• 심각도 medium · CVSS 5.5 · EPSS 0.0019 · 악용난이도 hard

• 촉발 조건: 다수의 태스크(약 56,000개 이상)가 동일한 OOM cgroup 내에 존재하는 환경에서 발생합니다.
• 작동 원리: Linux 커널의 Out-Of-Memory(OOM) 프로세스가 해당 cgroup 내의 태스크들을 순회(traversing)하는 과정에서 CPU가 장시간 점유되어 soft lockup 상태에 빠집니다.
• 공격 경로: 로컬 권한을 가진 사용자가 대량의 태스크를 생성하여 특정 cgroup에 배치함으로써 커널 스케줄러의 응답성을 저하시키는 방식으로 유도할 수 있습니다.

악용 가능성: 본 취약점은 Linux kernel의 memcg(Memory Control Group) 내 OOM(Out of Memory) 처리 과정에서 발생하는 Soft lockup으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L과 PR:L에 따라 공격자는 시스템에 이미 로그인한 낮은 권한의 계정을 보유해야 하며, 로컬 환경에서의 직접적인 트리거가 전제되어야 합니다. 특히 약 56,000개 이상의 방대한 Task를 특정 OOM cgroup 내에 생성하여 순회(Traversing) 시 CPU 점유를 유발해야 하므로, 일반적인 환경보다 매우 특수한 리소스 구성 조건이 필요합니다. 공격 표면은 커널의 메모리 관리 서브시스템 및 cgroup 인터페이스로 제한되며, 네트워크를 통한 원격 공격은 불가능합니다. EPSS 수치가 0.0019로 매우 낮고 KEV에 등재되지 않은 점은 이론적인 취약점과 달리 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 따라서 본 취약점의 실질적인 악용 가능성은 낮으나, 대규모 컨테이너 환경이나 다수의 프로세스를 운용하는 서버에서는 가용성 저해 리스크가 존재합니다.

• 영향 제품 및 규모: linux_kernel 3.6 ~ 6.12.13 및 6.13 ~ 6.13.2 버전이 광범위하게 영향을 받습니다.
• 기술적 위험 (Availability): 공격 성공 시 CPU가 특정 프로세스에 고정되어 시스템 전체 혹은 특정 코어의 응답이 중단되는 서비스 거부(DoS) 상태가 됩니다. 제공된 로그(watchdog: BUG: soft lockup - CPU#2 stuck for 23s!)에서 보듯, 커널 패닉이나 시스템 프리징으로 이어질 수 있습니다.
• 비즈니스 리스크: 가용성 저하로 인해 호스팅 서비스나 클라우드 환경(예: Huawei Cloud OpenStack Nova 등)에서 인스턴스의 불안정성이 증대되며, 이는 SLA 미준수 및 서비스 신뢰도 하락으로 연결될 수 있습니다.
• 데이터/권한 영향: CVSS 벡터(C:N/I:N)에 따라 데이터 유출이나 권한 상승의 위험은 없는 것으로 분석됩니다.

• 유형: 리소스 관리 및 스케줄링 지연으로 인한 DoS 패턴입니다.
• 체이닝 가능성: 단독으로는 가용성 저하만 일으키나, 시스템의 모니터링 도구나 보안 에이전트가 soft lockup으로 인해 작동하지 않는 틈을 타 다른 로컬 취약점을 실행하는 환경적 제약 제거 수단으로 이용될 수 있습니다.

• 커널 로그 모니터링: 시스템 로그(dmesg, /var/log/syslog)에서 watchdog: BUG: soft lockup 및 memcg 관련 Call Trace가 발생하는지 확인합니다.
• 이상 징후 패턴: 특정 cgroup 내에 비정상적으로 많은 수의 태스크가 생성되는 행위를 모니터링합니다.

• 근본 해결: 영향받는 커널 버전을 최신 패치 버전으로 업데이트하여 memcg OOM 프로세스의 순회 로직 수정 사항을 적용합니다.
• 즉시 조치:
  • cgroup 내 최대 태스크 수(pids.max)를 제한하여 단일 cgroup에 과도한 태스크가 생성되지 않도록 설정합니다.
  • 리소스 사용량이 극심한 환경에서 커널 watchdog 설정을 통해 시스템 상태를 상시 감시합니다.

[분석 근거]
본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과와 실측 EPSS 수치(0.0019) 및 규칙 기반 우선순위 결정 논리를 바탕으로 작성되었습니다. 특히 EPSS 값이 매우 낮고 AV:L(로컬 접근 필요), exploit=hard 등급인 점을 근거로, 즉각적인 무기화 가능성은 낮으나 영향 범위가 넓어 'monitor' 수준의 대응 우선순위를 부여하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0019 · exploit=hard · in_scope=None