[방어] 분석 — CVE-2025-71086

• 심각도 high · CVSS 7.8 · EPSS 0.0012 · 악용난이도 hard

본 취약점은 Linux 커널의 ROSE 프로토콜 구현체 내 rose_kill_by_device() 함수에서 발생합니다.

1. 트리거: 네트워크 장치가 다운될 때, 해당 장치에 바인딩된 소켓들을 로컬 배열(array[])에 수집하고 이를 순회하며 연결을 해제하는 과정에서 발생합니다.
2. 결함: 루프 인덱스 i 대신 고정된 카운트 값 cnt를 사용하여 array[cnt]에 접근합니다.
3. 경로: cnt가 배열 크기보다 작으면 초기화되지 않은 메모리를 읽고, cnt가 배열 크기와 같으면 Out-of-bounds(OOB) Read가 발생하여 유효하지 않은 소켓 포인터를 역참조하게 됩니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로컬 계정 권한을 획득하여 커널 인터페이스에 접근할 수 있는 상태여야 합니다. 공격 표면은 Linux 커널의 레거시 프로토콜인 ROSE(Routing Option Security Enhanced) 네트워크 스택이며, 특히 장치를 다운시키는 과정에서 호출되는 rose_kill_by_device() 함수 내 배열 인덱스 오류가 트리거 포인트입니다. 하지만 EPSS 수치가 0.0012로 매우 낮고 KEV에 등재되지 않았다는 점은, 실제 야생(Wild)에서 이 레거시 프로토콜을 활성화하여 공격에 활용하는 사례가 극히 드물다는 것을 의미합니다. 결과적으로 이론적인 Out-of-Bounds Read 및 커널 패닉 가능성은 존재하나, 특정 프로토콜의 활성화 상태와 로컬 권한 확보라는 전제 조건으로 인해 실제 악용 가능성은 매우 제한적입니다.

• 권한 상승: 로컬 공격자(AV:L, PR:L)가 커널 메모리의 잘못된 포인터를 참조하게 함으로써 커널 패닉(DoS)을 유발하거나, 추정: 정교하게 조작된 메모리 레이아웃을 통해 권한 상승을 시도할 수 있습니다.
• 리소스 누수: sock_hold()를 통해 획득한 참조 카운트가 적절히 해제되지 않아 커널 메모리 누수가 발생합니다.

• 유형: Out-of-bounds Read / Invalid Pointer Dereference.
• 체이닝: 로컬 권한을 가진 공격자가 커널 내 다른 메모리 오염 취약점과 연계하여 임의 코드 실행(ACE)으로 확장할 가능성이 있습니다.

본 취약점은 커널 내부 함수에서 발생하므로 일반적인 애플리케이션 로그로는 탐지가 불가능하며, 커널 덤프 및 시스템 로그 분석이 필요합니다.

• 로그 지표: dmesg 또는 /var/log/syslog 내의 Kernel Oops, Segmentation Fault, 혹은 rose_kill_by_device와 관련된 Stack Trace 확인.
• 탐지 규칙 예시 (SIEM/EDR 의사코드):
  • Rule 1 (Kernel Crash): event_id == "KERNEL_OOPS" AND message CONTAINS ("rose_kill_by_device" OR "invalid opcode" OR "general protection fault")
  • Rule 2 (Module Load): event_id == "MODULE_LOAD" AND module_name == "rose" (취약한 모듈이 로드되는 시점을 추적)
• 오탐 튜닝: 네트워크 장치의 빈번한 Up/Down 이벤트가 발생하는 환경에서는 정상적인 커널 에러와 구분하기 어렵습니다. ROSE 프로토콜을 사용하지 않는 서버에서 해당 모듈의 로드/실행 로그가 발생한다면 이는 매우 높은 확률로 이상 징후입니다.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, EPSS 수치가 0.0012로 낮고 exploit=hard 등급인 점을 근거로 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이는 실제 악용 가능성은 낮으나 영향 범위(8개 버전군)가 넓어 잠재적 리스크 관리가 필요함을 의미합니다.

• 즉시 (긴급 차단): ROSE 프로토콜 모듈 블랙리스트 등록
  • 방법: /etc/modprobe.d/blacklist.conf 파일에 blacklist rose 추가 후 적용.
  • 난이도: 매우 낮음 / 운영 영향: ROSE 프로토콜 미사용 시 없음 / 검증: lsmod | grep rose 결과가 없어야 함.
• 단기 (완화): 불필요한 네트워크 프로토콜 모듈 로드 제한
  • 방법: 커널 파라미터 설정을 통해 미사용 모듈의 동적 로드를 제한합니다.
  • 난이도: 낮음 / 운영 영향: 일부 레거시 서비스 영향 가능성 / 검증: modprobe rose 실행 시 권한 거부 확인.
• 근본 (해결): 커널 업데이트 및 패치 적용
  • 방법: 영향받는 버전(4.19, 5.4, 5.10, 5.15, 6.1, 6.6, 6.76.12, 6.136.18)에서 수정된 최신 메인라인 커널로 업그레이드.
  • 난이도: 보통 / 운영 영향: 시스템 재부팅 필요(가용성 일시 중단) / 검증: uname -r을 통해 패치된 버전 확인.

잔여 리스크: 패치 후에도 동일한 패턴의 인덱스 오류가 다른 네트워크 프로토콜 모듈에 존재할 가능성이 있으며, 이는 정적 분석 도구를 통한 전수 조사가 필요합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0012 · exploit=hard · in_scope=None