[단독공격] 분석 — CVE-2025-21707

• 심각도 critical · CVSS 9.8 · EPSS 0.00466 · 악용난이도 moderate

• 공격 표면

  • 네트워크 스택 진입점: tcp_data_queue → mptcp_incoming_options (net/mptcp/options.c)에서 MPTCP 옵션 파싱 시 발생.
  • 노출 프로토콜: TCP / MPTCP (IPv4·IPv6 모두).
  • 조작 가능한 필드: SYN, ACK, DATA 패킷의 MPTCP 서브옵션(bitmask 및 각 서브옵션 별 비트필드).

• 트리거 조건

  • 공격자는 임의의 원격 호스트에 대해 특수하게 구성된 MPTCP 옵션(예: 잘못된 sub‑option 길이·값) 을 포함한 TCP 세그먼트를 전송한다.
  • 커널은 __mptcp_expand_seq → ack_update_msk 경로에서 해당 비트필드를 초기화하지 않은 상태로 사용하여 KMSAN이 감지한 uninit‑value 를 발생시킨다.

• 공격 단계

  1. 정찰 – Nmap, p0f 등으로 대상 OS와 커널 버전(5.11 ~ 6.13.2) 확인; MPTCP 활성 여부(cat /proc/sys/net/mptcp/enabled)를 조회.
  2. 초기 접근 – 위에서 만든 악성 TCP 패킷을 전송, MPTCP 옵션이 파싱되는 순간 취약 코드가 실행됨.
  3. 실행·권한 획득 – 비정상적인 메모리 값이 커널 구조체(예: 시퀀스 번호 관리 구조) 를 오염시켜 커널 권한 상승 또는 임의 코드 실행을 가능하게 함(구현에 따라 OOPS → 재부팅, 혹은 ROP 체인 구성).
  4. 지속 – 루트 권한 확보 후 systemd 서비스 파일 삽입·커널 모듈 로드 등으로 영구화 가능.
  5. 영향 – 전체 시스템 장악(Confidentiality / Integrity / Availability 전부 파괴).

• CVSS ↔ 실제 조건 매핑

  • AV:N → 네트워크만으로 원격 공격 가능.
  • AC:L → 복잡도 낮음, 특별한 인증·프리조건 없음.
  • PR:N / UI:N → 인증·사용자 상호작용 전혀 필요 없으며 자동화된 스크립트로 재현 가능.

• 추정: 정확한 메모리 손상 방식(버퍼 오버플로우, Use‑After‑Free 등)은 커널 소스 분석이 추가로 필요하지만, KMSAN 로그가 가리키는 uninit‑value 사용은 권한 상승에 충분히 연결될 수 있음.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크만으로, 복잡도가 낮으며 권한·사용자 개입 없이 취약 함수에 접근할 수 있음을 의미합니다. 실제로 MPTCP 옵션 파싱은 커널 레벨에서 모든 inbound TCP 연결에 대해 수행되므로, IPv4·IPv6 어느 인터페이스든 노출된 엔드포인트가 공격 표면이 됩니다. 공격자는 SYN/ACK 흐름 중 MPTCP 서브옵션 필드를 조작해 __mptcp_expand_seq 경로를 유도하고, 초기화되지 않은 비트필드가 사용되는 상황을 강제함으로써 커널 메모리 오염(잠재적 권한 상승 또는 서비스 거부)을 일으킬 수 있습니다. EPSS 0.00466이라는 값은 현재 관찰된 실제 악용 사례는 드물지만, 존재 가능성을 충분히 반영하고 있으며, KEV에 등재되지 않은 점은 아직 대규모 공격이 보고되지 않았음을 시사합니다. 따라서 초기 정찰 단계에서는 MPTCP를 활성화한 호스트를 스캔해 TCP 옵션 지원 여부를 확인하면 되며, 성공적인 탐지는 단순히 비정상적인 옵션 조합을 전송하는 것만으로도 가능합니다. 이후 공격 체인은 옵션 파싱 → 비정규 비트필드 사용 → 커널 메모리 손상 → 권한 상승(또는 시스템 중단) 순으로 진행되며, 별도의 사용자 공간 코드 실행이 필요하지 않으므로 복잡도가 낮은 편입니다. 이러한 조건을 모두 만족하면 moderate 등급에 부합하는 실전 활용 가능성이 존재합니다.

• 성공 시 루트 권한 획득 → 시스템 전체 파일·프로세스 조작, 네트워크 트래픽 탈취, 서비스 중단 등 전면적인 침해가 발생함.
• MPTCP를 사용하지 않는 환경에서도 커널 자체가 손상되므로, 해당 기능을 비활성화한 경우에도 패치 적용이 권고됨.

• 유형(CWE): 현재는 미분류지만, Uninitialized Variable(CWE‑457) 및 Improper Initialization of Data Structures와 연관될 가능성이 높음.
• 가능한 체인 패턴
  • CWE‑457 → 메모리 오염 → 커널 권한 상승 (CWE‑264·CWE‑269).
  • 동일 호스트에 존재하는 KASLR 우회(예: CVE‑2024‑XXXX)와 결합하면 ROP 체인 구축이 쉬워짐.
• 추정: 다른 네트워크 스택 취약점(CVE‑2023‑xxxx 등)과 연계해 초기 침투 후 MPTCP 취약점을 이용한 권한 상승을 수행할 수 있음.

• 커널 로그에 KMSAN: uninit-value 와 함께 __mptcp_expand_seq, ack_update_msk, mptcp_incoming_options 가 포함된 OOM/BUG 메시지가 기록될 경우.
• 비정상적인 TCP 연결 재시도·RST 패킷 증가, 특히 MPTCP 옵션이 비표준 형태로 전송되는 트래픽을 IDS/IPS에서 패턴 매칭(예: tcp.flags == SYN && tcp.options contains "MPTCP" + 비정상 길이)으로 탐지.
• 시스템 콜 레벨에서는 execve("/sbin/kmsg") 등 커널 로그를 실시간 모니터링하는 도구에서 해당 OOPS 발생 시 알림을 설정.

• 즉시 조치

  • 해당 커널 버전을 패치된 최신 릴리즈(6.13.3 이상)로 업데이트하거나, 배포판 제공 보안 업데이트를 적용한다.
  • sysctl -w net.mptcp.enabled=0 로 MPTCP 기능을 비활성화하고, /etc/sysctl.conf에 영구 설정한다.

• 근본 해결

  • 커널 소스에서 mptcp_incoming_options 내부 초기화 로직이 올바르게 수행되도록 패치가 포함된 버전을 사용한다(패치 릴리즈 노트 참조).
  • SELinux/AppArmor 등 강력한 MAC 정책을 적용해 루트 권한 상승 시도를 제한하고, 비정상적인 커널 모듈 로드를 차단한다.

• 운영 차원

  • [교차검증]에 따라 다중 소스에서 일관성이 확인된 CVE-2025-21707임을 인지하고, 이번 주 내(우선순위 = scheduled) 패치 작업을 스케줄링한다.
  • EPSS = 0.00466 (moderate) 은 실제 악용 가능성은 낮지만, CVSS 9.8·critical 등급이므로 위험도 평가에서 높은 가중치를 부여해 신속 대응이 필요함을 강조한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00466 · exploit=moderate · in_scope=None