[공격] 분석 — CVE-2025-37964

• 심각도 medium · CVSS 5.5 · EPSS 0.00156 · 악용난이도 hard

(1) 트리거 조건: x86 아키텍처에서 mm 전환 시 should_flush_tlb() 함수의 버그로 인해 필요한 Translation Lookaside Buffer(TLB) flush가 누락되는 윈도우가 발생함. 특히 mm_cpumask()의 lazy 업데이트와 공격적인 culling 로직이 충돌하며 IPI(Inter-Processor Interrupt) 전송을 잘못 억제할 때 트리거됨.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 확인 (5.15.179 - 6.14.7 범위 내 해당 버전 확인).
• 초기접근: 로컬 사용자 권한 확보 (AV:L, PR:L 전제).
• 실행/권한 획득: 프로세스 컨텍스트 스위칭을 유도하여 TLB flush가 누락되는 타이밍에 메모리 매핑을 조작. stale TLB entry를 이용해 물리 메모리의 의도치 않은 영역에 접근 시도.
• 영향: 커널 메모리 오염 또는 비정상 종료 유도.

(3) 공격 표면: x86 CPU의 MMU 및 Linux 커널의 mm 스위칭 코드(load_new_mm_cr3, should_flush_tlb). 외부 네트워크 엔드포인트가 아닌, 시스템 내부의 메모리 관리 서브시스템이 직접적인 타겟임.

(4) CVSS 벡터 연결:

• AV:L: 로컬 접근 필요. 커널 내부 로직 결함이므로 원격 트리거 불가.
• AC:L: 조건 형성 자체는 단순하나, 실제 race window를 맞추는 것은 매우 어려움 (실측 악용예측 hard 근거).
• PR:L: 일반 사용자 권한으로 프로세스 생성 및 컨텍스트 스위칭 유도 가능.
• UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux 커널의 mm switching 과정에서 TLB flush가 누락되는 Race Condition으로, 공격 난이도는 매우 높으며(Hard) 제한적인 조건에서만 악용 가능합니다. AV:L 및 PR:L 벡터에서 알 수 있듯, 공격자는 이미 시스템에 낮은 권한의 쉘을 확보한 상태여야 하며 로컬 환경에서의 정밀한 타이밍 제어가 필수적입니다. EPSS 값이 0.00156으로 매우 낮고 KEV에 등재되지 않은 점은 이론적인 메모리 오염 가능성과 달리, 실제 야생(In-the-wild)에서 이를 무기화하여 성공시킨 사례가 극히 드물다는 것을 방증합니다. 공격 표면은 특정 CPU 코어 간의 mm_cpumask 업데이트 및 should_flush_tlb() 함수 호출 시점이라는 커널 내부 메커니즘에 국한됩니다. 결과적으로 공격자는 메모리 관리 유닛(MMU)의 일관성 결여를 이용해 stale TLB 엔트리를 유지함으로써, 권한이 없는 메모리 영역에 접근하거나 커널 공간의 데이터를 조작하려는 시도를 할 수 있습니다. 하지만 이는 하드웨어 아키텍처와 커널 스케줄링에 극도로 의존하는 공격으로, 단순한 트리거보다는 다른 메모리 취약점과 체이닝하여 권한 상승(LPE)을 달성하기 위한 정밀한 징검다리로 활용될 가능성이 큽니다.

(1) 기술적 위험: TLB flush 누락으로 인해 CPU가 최신 페이지 테이블이 아닌 과거의 캐시된 주소 변환 정보를 사용하게 됨. 이는 추정: 메모리 무결성 파괴, 커널 패닉(DoS), 또는 권한 없는 메모리 영역 접근으로 이어질 수 있음. (CVSS A:H 반영)
(2) 비즈니스 영향: 시스템 가용성 저하 및 예기치 않은 재부팅 발생. 로컬 공격자에 의한 시스템 불안정화 위험이 존재함.

• 체이닝 경로: 추정: [로컬 권한 획득] $\rightarrow$ [TLB Flush 누락을 통한 메모리 일관성 파괴] $\rightarrow$ [커널 공간 데이터 변조/유출] $\rightarrow$ [권한 상승(LPE)].
• 유형 수준 분석: 본 결함은 단독으로 RCE를 일으키지는 않으나, 다른 메모리 손상 취약점과 체이닝될 경우 커널의 메모리 보호 메커니즘을 우회하는 수단으로 활용될 가능성이 있음.

(1) 로그 지표: 일반적인 OS 로그에는 남지 않음. dmesg 또는 /var/log/kern.log에서 TLB 관련 하드웨어 예외나 원인 불명의 Kernel Panic (Oops) 발생 빈도 증가 확인 필요.
(2) 탐지 규칙:

• 로직: 동일 프로세스가 매우 짧은 간격으로 과도한 컨텍스트 스위칭을 유발하며 동시에 비정상적인 메모리 접근 패턴(Segmentation Fault)이 반복되는지 모니터링.
• 의사코드: IF (process_ctx_switch_rate > threshold && kernel_oops_count > 0) THEN alert("Potential TLB race exploitation");
  (3) 오탐 시나리오: 고부하 멀티스레딩 애플리케이션이나 가상화 환경에서의 정상적인 컨텍스트 스위칭 급증. 하드웨어 결함으로 인한 간헐적 패닉과 구분하기 어려움.

• 즉시(긴급 차단): 해당 취약점은 커널 내부 로직 문제로 설정 변경을 통한 즉각 차단이 불가능함. 신뢰할 수 없는 사용자의 로컬 쉘 접근 제한 및 sudo 권한 최소화. (난이도: 하 / 영향: 낮음)
• 단기(완화): 시스템 모니터링 강화 및 커널 패닉 발생 시 덤프 분석을 통해 should_flush_tlb 관련 스택 트레이스 확인. (난이도: 중 / 영향: 낮음)
• 근본(해결): 취약점이 해결된 최신 커널 버전으로 업그레이드. (영향 제품 범위: 5.15.x, 6.1.x, 6.6.x, 6.12.x, 6.13.x, 6.14.x 등 해당 버전의 최신 패치 적용). (난이도: 중 / 영향: 재부팅 필요로 인한 가용성 일시 중단)

[파이프라인 근거] 본 분석은 다중 소스에서 데이터 일관성이 확인된 결과를 바탕으로 하며, EPSS 0.00156(백분위 0.05207)의 낮은 실측 악용 가능성과 AV:L 벡터 및 hard 등급의 난이도를 근거로 우선순위를 'monitor'로 결정함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00156 · exploit=hard · in_scope=None