[방어] 분석 — CVE-2024-57973

• 심각도 medium · CVSS 5.5 · EPSS 0.00241 · 악용난이도 hard

(1) 트리거 조건: 32bit 아키텍처 시스템에서 rdma/cxgb4 드라이버를 사용하는 환경이 전제됩니다. 사용자가 제어 가능한 gl->tot_len 변수가 process_responses() 함수를 통해 전달될 때, 여기에 특정 구조체(struct cpl_pass_accept_req, struct rss_header)의 크기를 더하는 과정에서 Integer Wrapping(정수 오버플로우)이 발생합니다.
(2) 공격 단계:

• 정찰: 대상 시스템의 아키텍처(32bit 여부) 및 RDMA 드라이버(cxgb4) 사용 여부를 확인합니다.
• 초기 접근: 로컬 사용자 권한(PR:L)을 획득하여 커널 인터페이스에 접근합니다.
• 실행/영향: 조작된 tot_len 값을 전달하여 정수 오버플로우를 유발, 메모리 오염이나 커널 패닉을 일으켜 시스템 가용성을 저해합니다.
  (3) 공격 표면: RDMA(Remote Direct Memory Access) 프로토콜 스택 내의 cxgb4 드라이버 인터페이스 및 관련 네트워크 응답 처리 로직입니다.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 접근 권한이 필요합니다.
• AC:L (Low): 공격 조건이 단순합니다.
• PR:L (Low): 낮은 수준의 사용자 권한만으로 트리거 가능합니다.
• UI:N (None): 사용자 상호작용이 필요 없습니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard이며, 실제 악용 가능성은 매우 제한적입니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인하여 로컬 권한을 획득한 상태에서만 트리거가 가능합니다. 공격 표면은 Linux 커널의 rdma/cxgb4 드라이버 내 process_responses() 함수이며, 사용자가 제어 가능한 gl->tot_len 변수를 통해 32bit 시스템에서 Integer Overflow를 유발하는 구조입니다. 하지만 EPSS 수치가 0.00241로 매우 낮고 KEV에 등재되지 않았다는 점은, 해당 취약점을 이용한 실제 공격 사례가 거의 없으며 환경적 제약(32bit 아키텍처 및 특정 RDMA 하드웨어 사용)이 매우 큼을 시사합니다. 결과적으로 이론적인 심각도와 달리, 타겟 시스템의 아키텍처와 드라이버 설치 여부라는 까다로운 전제조건으로 인해 실제 위협 수준은 낮다고 판단됩니다.

(1) 기술적 위험: 정수 오버플로우로 인해 잘못된 메모리 길이 계산이 이루어지며, 이는 추정: 커널 메모리 손상(Memory Corruption) 또는 Null Pointer Dereference 등으로 이어져 시스템 크래시(Kernel Panic) 및 서비스 중단(DoS)을 유발합니다.
(2) 비즈니스 영향: RDMA를 사용하는 고성능 컴퓨팅 또는 스토리지 서버의 가용성이 상실되어 서비스 중단이 발생할 수 있습니다. 다만, 32bit 시스템으로 한정되므로 최신 64bit 인프라 환경에서의 실질적 노출 규모는 낮을 것으로 판단됩니다.

• 추정: 본 취약점은 단독으로는 서비스 거부(DoS)에 그칠 가능성이 높으나, 정수 오버플로우가 힙 오버플로우(Heap Overflow)로 이어질 경우 임의 코드 실행(RCE)이나 권한 상승(Privilege Escalation)으로 연결되는 체이닝 패턴을 가질 수 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog, /var/log/messages)에서 cxgb4 드라이버와 관련된 Segmentation Fault, General Protection Fault 또는 Kernel Panic 메시지를 모니터링합니다.
(2) 탐지 규칙 예시:

• SIEM 쿼리 (의사코드):
  SELECT timestamp, hostname, message FROM kernel_logs WHERE (message LIKE '%cxgb4%' AND (message LIKE '%panic%' OR message LIKE '%overflow%' OR message LIKE '%segfault%'))
• 정규식 패턴: /(?:cxgb4).*?(?:integer overflow|kernel panic|general protection fault)/i
  (3) 오탐 튜닝: 하드웨어 결함이나 드라이버 자체의 버그로 인한 간헐적 크래시와 구분하기 위해, 동일한 호스트에서 짧은 시간 내에 반복적으로 발생하는 커널 패닉 패턴을 분석하여 공격 시도 여부를 판별합니다.

• 즉시(긴급 차단): 32bit 시스템 중 RDMA 기능을 사용하지 않는 서버는 modprobe -r cxgb4 명령으로 드라이버를 언로드하거나, /etc/modprobe.d/blacklist.conf에 blacklist cxgb4를 추가하여 모듈 로드를 차단합니다.
  • 난이도: 낮음 / 운영 영향: RDMA 기능 사용 불가 / 검증 방법: lsmod | grep cxgb4 결과 없음 확인 / 우선순위: 최상
• 단기(완화): 불필요한 로컬 사용자 계정을 정리하고, 커널 인터페이스에 접근 가능한 권한을 최소화하여 공격 표면을 줄입니다.
  • 난이도: 보통 / 운영 영향: 낮음 / 검증 방법: 사용자 권한 매트릭스 점검 / 우선순위: 중
• 근본(해결): 영향받는 버전 범위(3.8 - 6.1.129, 6.2 - 6.6.76 등)에 해당하는 커널을 최신 패치 버전으로 업데이트하여 size_add() 함수가 적용된 수정본을 반영합니다.
  • 난이도: 보통 / 운영 영향: 시스템 재부팅 필요(가용성 일시 중단) / 검증 방법: uname -r 및 커널 변경 로그 확인 / 우선순위: 높음

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00241, 백분위 0.15386)이 매우 낮고 KEV에 등재되지 않았으며 공격 난이도가 Hard인 점을 근거로 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00241 · exploit=hard · in_scope=None