[분석가] 분석 — CVE-2026-23455

• 심각도 critical · CVSS 9.1 · EPSS 0.01338 · 악용난이도 moderate

• 촉발 지점: netfilter 모듈의 nf_conntrack_h323 내 DecodeQ931() 함수에서 발생합니다.
• 원리: UserUserIE 코드 경로에서 패킷으로부터 16-bit 길이를 읽어온 후, 프로토콜 식별자 바이트를 제외하기 위해 값을 1 감소(decrement)시킵니다.
• 경로: 입력된 길이가 0일 경우, 언더플로우(Underflow)가 발생하여 값이 -1(unsigned 기준 매우 큰 값)로 변환됩니다. 이 값이 DecodeH323_UserInformation()으로 전달되어 Out-of-bounds Read를 유발합니다.

악용 가능성: 본 취약점은 Linux kernel의 netfilter 모듈 내 nf_conntrack_h323 컴포넌트에서 발생하는 Out-of-bounds Read 취약점입니다. 공격 벡터가 AV:N/AC:L/PR:N/UI:N으로 정의된 만큼, 인증되지 않은 원격 공격자가 특수하게 조작된 H.323 패킷을 전송하는 것만으로 트리거할 수 있어 공격 진입 장벽이 매우 낮습니다. 구체적인 공격 표면은 DecodeQ931() 함수가 처리하는 Q.931 프로토콜의 UserUserIE 경로이며, 여기서 0으로 설정된 길이(length) 값이 감산 과정에서 언더플로우(Underflow)되어 거대한 양수 값으로 변환됨으로써 메모리 경계를 넘어 읽는 동작이 발생합니다. EPSS 수치는 0.01338로 낮고 KEV에 등재되지 않아 현재 야생(In-the-wild)에서의 활발한 악용 사례는 미관측 상태입니다. 그러나 네트워크 스택의 깊은 곳에서 발생하는 메모리 오류라는 점에서, 이론적 심각도와 별개로 공격자가 정교한 패킷을 구성해 시스템 크래시를 유도하거나 민감 정보를 탈취하려 할 가능성이 상존합니다. 결과적으로 낮은 공격 난이도에도 불구하고 실제 악용률이 낮은 상태이나, H.323 프로토콜을 활성화하여 외부망에 노출한 환경에서는 즉각적인 위협이 될 수 있습니다.

• 기술적 위험:
  • 정보 유출 및 가용성 저하: 커널 메모리 영역의 비정상적인 읽기로 인해 민감한 데이터가 노출되거나, 잘못된 메모리 참조로 인한 커널 패닉(Kernel Panic) 및 시스템 크래시가 발생하여 서비스 중단으로 이어질 수 있습니다.
  • 공격 벡터: AV:N/AC:L 특성상 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 H.323 패킷을 전송함으로써 원격에서 트리거할 수 있습니다.
• 비즈니스 리스크:
  • 광범위한 노출 규모: 영향 제품이 linux_kernel 2.6.17부터 6.19.10까지 매우 광범위하게 분포되어 있어, 다수의 레거시 및 최신 인프라가 잠재적 위험에 노출되어 있습니다.
  • 서비스 가용성: 커널 수준의 취약점이므로 성공적인 악용 시 서버 전체의 가용성이 즉각적으로 상실될 수 있으며, 이는 비즈니스 연속성 저해와 서비스 신뢰도 하락으로 이어집니다.

• 유형: Memory-Corruption (CWE) 계열의 취약점으로, 단독으로는 정보 유출이나 DoS를 유발하지만 추정: 다른 커널 메모리 쓰기 취약점과 체이닝될 경우 권한 상승(LPE)으로 이어질 가능성이 있습니다.

• 네트워크 레벨: H.323 프로토콜 트래픽 중 Q.931 메시지의 길이 필드가 비정상적으로 작거나 0으로 설정된 패킷을 모니터링합니다.
• 시스템 레벨: 커널 로그(dmesg)에서 nf_conntrack_h323 관련 세그멘테이션 폴트나 커널 패닉 흔적을 추적합니다.

• 근본 해결: 영향 범위에 포함된 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트합니다. (len 값이 양수인지 확인하는 검증 로직 추가 패치 적용)
• 즉시 조치:
  • H.323 프로토콜을 사용하지 않는 환경이라면 nf_conntrack_h323 모듈을 언로드하거나 비활성화하여 공격 표면을 제거합니다.
  • 방화벽 및 IPS를 통해 불필요한 H.323 트래픽의 유입을 차단합니다.

분석 근거 및 우선순위 결정: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. CVSS 점수는 9.1(Critical)로 매우 높으나, 실측 EPSS 값은 0.01338(백분위 0.68441, moderate 등급)로 현재 야생에서의 실제 악용 빈도는 낮은 것으로 나타납니다. 따라서 KEV 미등재 및 실측 예측치를 반영하여 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.01338 · exploit=moderate · in_scope=None