[분석가] 분석 — CVE-2026-31674

• 심각도 high · CVSS 7.1 · EPSS 0.00123 · 악용난이도 hard

본 취약점은 Linux 커널의 Netfilter 모듈 내 ip6t_rt: rt_mt6_check() 함수에서 발생합니다. 공격자가 addrnr 값이 IP6T_RT_HOPS 범위를 초과하는 조작된 IPv6 routing 규칙을 설치할 때, 커널이 이를 적절히 검증하지 않고 rtinfo->addrs[] 배열의 경계를 벗어나 접근(Out-of-bounds access)하게 됩니다.

• 경로: Local User $\rightarrow$ Network Configuration Interface $\rightarrow$ ip6t_rt module $\rightarrow$ OOB Access.
• 단계: 조작된 IPv6 규칙 생성 $\rightarrow$ 규칙 설치 시도 $\rightarrow$ 커널 메모리 오염 또는 비정상 참조 유발.

악용 가능성: 본 취약점은 Linux kernel 내 netfilter 모듈의 ip6t_rt 구성 요소에서 발생하는 Out-of-bounds Read/Write 위험으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터(AV:L/AC:L/PR:L/UI:N)에 따라 공격자는 시스템 내 일반 사용자 권한(PR:L)을 이미 확보하여 로컬 환경(AV:L)에서 접근 가능한 상태여야 합니다. 구체적인 공격 표면은 ip6t_rt 매치 규칙 설치 과정이며, addrnr 파라미터가 IP6T_RT_HOPS 임계값을 초과하도록 조작된 악성 규칙을 주입하는 것이 트리거 조건입니다. 다만, EPSS 수치가 0.00123으로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사하며, 이는 이론적 심각도와 별개로 실질적인 공격 가능성이 낮음을 의미합니다. 결과적으로 권한 상승을 위해 커널 메모리 레이아웃을 정밀하게 제어해야 하는 기술적 제약이 존재하므로, 실제 악용 가능성은 제한적인 것으로 분석됩니다.

다중 소스 데이터 교차검증을 통해 신뢰도 1.0의 일관성이 확인되었으며, 영향 범위가 매우 광범위한 것이 특징입니다.

• 영향 제품 및 규모: Linux 커널 2.6.12.1부터 최신 버전대(6.19.11 등)까지 다수의 메이저 버전이 포함되어 있어, 레거시 시스템부터 최신 배포판까지 노출 규모가 매우 큽니다.
• 기술적 위험:
  • 권한 상승 및 데이터 유출: 추정: 단순 DoS를 넘어 커널 내부 구조 조작을 통한 Local Privilege Escalation(LPE)이 가능하며, 특히 컨테이너/네임스페이스 환경에서는 격리 파괴(Escape)를 통해 호스트 시스템 장악 및 타 테넌트의 데이터 유출로 이어질 수 있습니다.
  • 가용성 침해: 잘못된 메모리 참조로 인한 Kernel Panic 발생 시 시스템 전체 서비스 중단이 초래됩니다.
• 비즈니스 리스크: 멀티테넌트 클라우드 환경에서 격리 파괴가 발생할 경우, 인프라 신뢰도 하락 및 컴플라이언스 위반 리스크가 큽니다.

• 패턴: 커널 내 경계 검사 미흡으로 인한 OOB Access 패턴입니다.
• 체이닝 가능성: 추정: 단독으로는 Local 권한이 필요하므로, 원격 코드 실행(RCE) 취약점이나 setuid 바이너리 등의 권한 상승 경로와 체이닝될 경우 공격 벡터가 확장될 수 있습니다.

• 행위 기반: 비특권 사용자가 Netfilter/iptables 규칙을 수정하려는 시도나, 비정상적으로 큰 addrnr 값을 포함한 IPv6 규칙 설정 로그를 모니터링합니다.
• 패턴 예시: ip6tables 명령어를 통한 규칙 추가 시 rt 매치 옵션의 인자 값 검증. (예: 정규식을 통해 addrnr 범위 초과 여부 감시)

• 근본 해결: 영향받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 rt_mt6_check() 내의 addrnr 검증 로직을 적용합니다.
• 즉시 조치:
  • 비특권 사용자의 네트워크 설정 권한(CAP_NET_ADMIN) 제한 및 raw socket 접근 제어.
  • 컨테이너 환경에서 불필요한 커널 모듈 로드 제한 및 네임스페이스 기반 접근 제어 강화.
• 우선순위 근거: CVSS 7.1의 높은 심각도와 광범위한 영향 제품군을 고려하여 'scheduled(이번 주 내)'로 결정되었습니다. 다만, 실측 EPSS 값이 0.00123으로 낮고 악용 난이도가 hard이며 KEV에 등재되지 않은 점을 반영하여 즉시 대응보다는 계획된 패치 일정에 따라 처리합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.1 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None