[방어] 분석 — CVE-2025-71064

• 심각도 미상 · CVSS 미상 · EPSS 0.00177 · 악용난이도 hard

• 취약점은 hclgevf_knic_setup() 함수에서 hdev->htqp 배열이 완전히 초기화되지 않아 발생합니다.
• 악용자는 VF(Virtual Function) 생성 시 비정상적인 num_tqps 값을 제공하거나, 커널 모듈 로드 순서를 조작해 초기화되지 않은 포인터를 dereference하도록 유도할 수 있습니다.
• 결과적으로 커널 OOPS/패닉이 발생하거나, 특수 조건 하에 권한 상승을 시도하는 코드가 실행될 가능성이 있습니다.

악용 가능성: 1. 이 취약점의 CVSS 벡터는 네트워크(AV = N)·복잡도 낮음(AC = L)·특권 필요(PR = L)·사용자 상호작용 없음(UI = N)으로, 공격자는 원격에서 별도의 인증이나 사용자 동작 없이 직접 패킷을 전송해 악용할 수 있음을 의미합니다.
2. 그러나 EPSS 점수가 0.00177로 매우 낮으며 KEV에 등재되지 않았으므로 현재까지 실제 공격 사례가 거의 없고, 위협 인텔리전스에서 높은 우선순위로 다루어지지는 않습니다.
3. 공격 표면은 hns3 가상 함수(VF) 드라이버가 노출하는 PCIe / SR‑IOV 인터페이스이며, 특히 VF와 물리 디바이스 간에 교환되는 설정 구조체(kinfo·tqp 등)가 초기화되지 않은 상태로 남을 경우 메모리 오염이 발생합니다.
4. 트리거 조건은 공격자가 가상 머신(VM) 내부에서 해당 VF를 사용해 비정상적인 TQP 수량을 요청하거나, 과도한 리소스 할당 요청을 조작하여 hdev·htqp 배열의 경계를 초과하도록 만드는 경우입니다.
5. 이러한 요청은 일반적으로 Q

• 성공적인 악용 시 시스템 전체가 비정상 종료(DoS)되거나, 공격자가 커널 레벨에서 임의 코드를 실행해 루트 권한을 획득할 수 있습니다.
• 해당 취약점은 네트워크 인터페이스(VF)를 사용하는 환경에 국한되므로, 해당 NIC를 사용하지 않는 서버는 직접적인 위험이 낮습니다.

• 추정: 동일 계열의 드라이버 초기화 오류(CWE‑457: Use of Uninitialized Variable)와 결합된 커널 메모리 손상 패턴은 기존 권한 상승 체인(예: CVE‑related to CWE‑124 Buffer Overflow)과 연계될 수 있습니다.
• 추정: 공격자는 초기화되지 않은 포인터를 이용해 임의 코드 실행 후, cap_setuid 우회 등을 통해 시스템 전역 권한을 확보하는 단계적 체이닝을 구성할 가능성이 있습니다.

• 로그 지표
  • 커널 로그(dmesg, /var/log/kern.log)에 “uninitialized pointer” 혹은 hclgevf_knic_setup 관련 OOPS 메시지가 기록될 경우 경보 발생.
  • auditd 이벤트에서 modprobe가 hns3 모듈을 로드하는 시도(type=CONFIG_CHANGE msg='loading module hns3')를 감시.
• SIEM 쿼리 예시 (Splunk)
  text복사

   1index=kernel sourcetype=kmsg ("hclgevf_knic_setup" OR "uninitialized") 
   2| stats count by host, _time

  • 임계값: 5분 내 동일 호스트에서 2건 이상 발생 시 경보.
• 정규식 기반 탐지 (Syslog)
  text복사

   1^.*(hclgevf_knic_setup|uninitialized).*$

• 오탐 튜닝
  • 정상적인 디버그 로그가 포함될 수 있으므로, auditd와 연계해 실제 모듈 로드 이벤트(type=CONFIG_CHANGE)와 동시에 발생한 경우에만 알림을 활성화.
  • 특정 테스트 환경에서 의도적으로 디버깅 로그를 남기는 경우에는 해당 호스트/서비스 태그를 화이트리스트에 추가.

• 즉시(긴급 차단)

  • hns3 모듈을 블랙리스트에 등록하고 즉시 언로드:
    • /etc/modprobe.d/blacklist.conf에 blacklist hns3 추가.
    • modprobe -r hns3 명령으로 현재 로드된 모듈 제거.
  • 구현 난이도: ★★☆☆☆ (간단한 파일 편집 및 재시작)
  • 운영 영향: 해당 NIC의 VF 기능 전면 차단, 물리 인터페이스는 정상 동작.
  • 검증 방법: lsmod | grep hns3 결과가 없고, /sys/class/net/*/device/sriov_numvfs 값이 0인지 확인.

• 단기(완화)

  • SR‑IOV VF 수를 0으로 설정해 VF 생성 자체를 차단: echo 0 > /sys/class/net/<iface>/device/sriov_numvfs.
  • 커널 모듈 로드 제한을 강화하기 위해 kernel.modules_disabled=1 부팅 파라미터를 테스트 환경에 적용(필요 시 재부팅).
  • 구현 난이도: ★★★☆☆ (시스템 재부팅 및 설정 파일 수정)
  • 운영 영향: VF 기반 가상화/컨테이너 네트워크가 중단되지만, 물리 NIC는 그대로 사용 가능.
  • 검증 방법: cat /sys/class/net/<iface>/device/sriov_numvfs 값이 0인지 확인하고, dmesg에 “VF disabled” 메시지가 남는지 점검.

• 근본(해결)

  • 배포판 제공 최신 커널 버전으로 업데이트하거나, upstream 패치를 백포트(backport)하여 적용:
    • 패치가 포함된 커밈(hns3: fix num_tqps allocation)이 포함된 커널 소스 확인 후 rpm -Uvh 또는 apt-get upgrade 수행.
  • 구현 난이도: ★★★★☆ (패키지 의존성 검토 및 테스트 환경에서 검증 필요)

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00177 · exploit=hard · in_scope=None