[단독분석] 분석 — CVE-2026-23455

• 심각도 critical · CVSS 9.1 · EPSS 0.01338 · 악용난이도 moderate

• 취약점 지점: netfilter 모듈 내 nf_conntrack_h323 구성 요소의 DecodeQ931() 함수에서 발생합니다.
• 촉발 경로: 공격자가 특수하게 조작된 H.323 패킷을 전송하여 UserUserIE 코드 경로를 활성화합니다.
• 메커니즘:
  1. 패킷에서 16-bit 길이를 읽어 들인 후, 프로토콜 식별자 바이트를 제외하기 위해 해당 값에서 1을 <0xEB><0xBA><0x8D>니다.
  2. 이때 입력된 길이가 0일 경우, 언더플로우(Underflow)가 발생하여 값이 -1(unsigned 기준 매우 큰 양수)로 변환됩니다.
  3. 이 비정상적인 길이 값이 DecodeH323_UserInformation()으로 전달되어 Out-of-bounds read를 유발합니다.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 내 nf_conntrack_h323 모듈에서 발생하는 Out-of-bounds Read 취약점으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급으로 평가됩니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 인증되지 않은 원격 공격자가 특수하게 조작된 H.323 프로토콜 패킷을 전송함으로써 트리거할 수 있으며, 특히 DecodeQ931() 함수 내 UserUserIE 경로에서 길이 값이 0인 패킷이 입력될 때 정수 언더플로우가 발생하여 메모리 영역을 비정상적으로 읽게 됩니다. 공격 표면은 H.323 트래픽을 처리하도록 설정된 네트워크 엔드포인트 및 관련 파라미터에 노출되어 있습니다. EPSS 수치는 0.01338로 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않아 현재 야생에서의 활발한 악용 사례는 미관측 상태입니다. 따라서 이론적인 원격 트리거 가능성은 높으나, 실제 환경에서 nf_conntrack_h323 모듈을 활성화하여 사용하는 시스템의 비중과 H.323 프로토콜의 사용 빈도를 고려할 때 실질적인 악용 가능성은 낮다고 판단됩니다.

• 기술적 위험:
  • 정보 유출(Confidentiality): 커널 메모리 영역의 임의 데이터를 읽어낼 수 있어, 시스템의 민감한 정보나 포인터 주소가 노출될 위험이 있습니다.
  • 서비스 중단(Availability): 잘못된 메모리 참조로 인해 커널 패닉(Kernel Panic) 및 시스템 크래시가 발생하여 가용성이 즉각적으로 상실될 수 있습니다.
• 비즈니스 리스크:
  • 광범위한 노출 규모: 영향 제품이 Linux Kernel 2.6.17부터 6.19 버전대까지 매우 광범위하며, 다중 소스 교차검증을 통해 데이터 일관성이 확인된 만큼 공급망 전반에 걸친 잠재적 위험이 큽니다.
  • 가용성 저해: 네트워크 인프라 및 서버의 갑작스러운 중단으로 인한 서비스 장애 리스크가 존재합니다.
• 우선순위 판단 근거: CVSS 9.1의 높은 심각도에도 불구하고, EPSS 수치가 0.01338(백분위 0.68441)로 낮고 KEV에 등재되지 않은 점을 고려하여 'scheduled(이번 주 내)' 수준으로 대응 우선순위를 결정하였습니다. 이는 이론적 위험도는 매우 높으나 실측 기반의 야생 악용 가능성은 상대적으로 낮음을 의미합니다.

• 유형: Memory-Corruption (Out-of-bounds read).
• 체이닝 가능성: 단독으로는 정보 유출이나 DoS를 유발하지만, 유출된 커널 주소 정보를 활용해 KASLR을 우회하고 다른 메모리 쓰기 취약점과 체이닝할 경우 권한 상승(LPE)으로 이어질 수 있습니다.

• 분석 대상: 네트워크 트래픽 중 H.323 프로토콜 패킷의 UserUserIE 섹션.
• 탐지 패턴:
  • H.323 Q.931 메시지 내에서 길이 필드(Length)가 0으로 설정된 비정상적인 패킷 유입을 모니터링합니다.
  • 추정: 커널 로그(dmesg) 내의 Segmentation fault 또는 Memory access violation 관련 덤프 확인.

• 근본 해결: 영향받는 Linux Kernel 버전을 최신 보안 패치가 적용된 버전으로 업데이트합니다. (패치 내용은 DecodeQ931() 함수 내에서 감산 후 len 값이 양수인지 확인하는 로직 추가)
• 즉시 조치:
  • H.323 프로토콜을 사용하지 않는 환경이라면 방화벽(ACL)을 통해 관련 포트 및 트래픽을 차단합니다.
  • 추정: 불필요한 nf_conntrack_h323 모듈의 로드를 비활성화하여 공격 표면을 제거합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.01338 · exploit=moderate · in_scope=None