[분석가] 분석 — CVE-2025-68787

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

netrom(AF_NETROM) 소켓을 이용해 nr_sendmsg() 를 호출하고, sock_alloc_send_skb() 가 NULL 을 반환하도록 유도하면 이전에 할당된 skb 가 해제되지 않아 커널 슬랩(​skbuff​) 메모리가 지속적으로 누수됩니다. 공격자는 로컬에서 AF_NETROM 소켓을 생성할 수 있는 권한만 있으면 반복적인 sendmsg 호출로 메모리를 고갈시켜 서비스 거부(DoS)를 유발할 수 있습니다.

악용 가능성: 이 취약점은 Linux 커널의 netrom 프로토콜에서 nr_sendmsg() 함수가 sock_alloc_send_skb()가 NULL을 반환할 때 원본 skb 를 해제하지 않아 메모리 누수가 발생합니다. CVSS 벡터를 AV=Network, AC=High, PR=Low, UI=None 으로 연결하면, 공격자는 해당 프로토콜이 활성화된 시스템에 네트워크 접근 권한

• 기술적 위험: skb 누적으로 인해 커널 슬랩 영역이 점진적으로 차오르면 OOM‑killer 가 동작하거나 시스템이 강제 재부팅될 수 있습니다. 이는 가용성 손실을 초래하지만, 메모리 내용 자체가 외부에 노출되지는 않으므로 기밀성·무결성 침해는 발생하지 않습니다.
• 영향 제품·범위: netrom 모듈이 포함된 모든 Linux 커널(소스 트리에서 CONFIG_NETROM 활성화)에서 영향을 받을 수 있습니다. 실제 운영 환경에서 netrom 프로토콜을 사용하지 않는 경우 노출 위험은 매우 낮습니다.
• 비즈니스 리스크: 서비스 중단으로 인한 SLA 위반, 고객 신뢰도 하락 및 규제 준수(가용성 요구사항) 위협이 존재합니다. 다만 EPSS = 0.00177(※실측값)이며 “hard” 수준의 PoC가 확인되지 않아 악용 가능성은 낮음으로 평가됩니다.
• 우선순위 판단 근거: 교차검증 결과 다중 소스에서 일관성이 확인됐으며(CVSS·KEV 정보 부재, EPSS 0.00177) 규칙 기반 우선순위는 “monitor” 로 결정되었습니다.

메모리 누수와 슬랩 레이아웃 조작을 결합한 기존 커널 취약점(예: 일부 skb‑related OOM 취약점)과 이슈를 연계할 가능성이 제기되지만, 현재 CVE-2025-68787 자체에 대한 구체적인 권한 상승 체인은 보고되지 않았습니다.

• 커널 로그에서 BUG: memory leak 혹은 unreferenced object … size 240 와 같은 kmemleak 메시지 확인
• /proc/slabinfo 에서 skbuff 슬랩 사용량 급증 추적
• OOM‑killer 가 활성화되는 시점의 dmesg 및 syslog 분석

1. 패치 적용: 해당 커밋이 포함된 최신 Linux 커널(배포판 업데이트)으로 즉시 업그레이드합니다.
2. 모듈 비활성화: netrom 기능이 필요하지 않은 경우 modprobe -r netrom 로 언로드하거나 /etc/modprobe.d/blacklist.conf 에 blacklist netrom 을 추가해 부팅 시 로드되지 않도록 합니다.
3. 모니터링 강화: 위 탐지 지표를 기반으로 실시간 로그 수집·경보 체계를 구축하고, 슬랩 사용량이 비정상적으로 증가하면 알림을 발생시킵니다.
4. 테스트 환경 검증: 패치 적용 전후에 AF_NETROM 소켓을 이용한 반복 sendmsg 테스트를 수행해 메모리 누수가 사라졌는지 확인합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None