[단독분석] 분석 — CVE-2025-21707

• 심각도 critical · CVSS 9.8 · EPSS 0.00466 · 악용난이도 moderate

• 공격자는 MPTCP 옵션(옵션 번호 30)을 포함한 조작된 TCP 패킷을 전송합니다.
• 커널은 해당 서브옵션 파싱 시 비트마스크는 초기화하지만 일부 비트필드를 초기화하지 않아 __mptcp_expand_seq 등에서 uninitialized memory가 사용됩니다.
• 이 메모리 오염이 발생하면 커널 패닉(DoS) 혹은 추정: 메모리 조작에 성공할 경우 원격 코드 실행(RCE)이 가능할 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 패킷을 전송하면 복잡한 사전 준비 없이도 악용이 가능하므로 AV:N/AC:L/PR:N/UI:N 벡터가 실제 공격 전제조건과 일치합니다. 공격자는 MPTCP 옵션 필드에 조작된 서브옵션을 포함시켜 커널 내부 비트필드를 초기화하지 못하도록 유도하면, KMSAN이 보고한 미초기화 값 오류가 발생하고 메모리 손상으로 서비스 거부나 임의 코드 실행이 이론적으로 가능해집니다. EPSS 0.00466이라는 수치는 현재 관측된 실제 악용 사례는 거의 없지만, 완전히 배제되지 않는 위험을 의미하며, KEV에 등재되지 않은 점은 아직 공개된 익스플로잇이 존재하지 않음을 나타냅니다. 공격 표면은 MPTCP를 활성화한 모든 Linux 커널(버전 5.x 이상)이며, 외부 네트워크에서 접근 가능한 TCP/IP 스택을 통해 해당 옵션을 조작할 수 있는 엔드포인트가 대상이 됩니다. 따라서 원격에서 별도의 인증이나 사용자 개입 없이도 공격이 가능하므로 난이도는 낮다고 평가되지만, 실제 악용 사례가 제한적인 점을 고려하면 위험 수준은 moderate로 판단됩니다.

• 기술적 위험
  • 초기화되지 않은 비트필드 사용으로 인한 메모리 오염 → 커널 패닉 및 서비스 중단(DoS).
  • 추정: 메모리 조작이 성공하면 루트 권한의 원격 코드 실행이 가능해 전체 시스템 장악 위험이 존재합니다.
• 비즈니스·규제 영향
  • 가용성 저하에 따른 SLA 위반 및 서비스 중단 비용 발생.
  • 핵심 인프라가 침해될 경우 PCI‑DSS, GDPR 등 규제 요구 사항 위반 가능성이 있습니다.
• 영향 제품·노출 규모
  • 다중 소스에서 일관성이 확인된 바와 같이 Linux kernel 5.11‑6.1.129, 6.2‑6.6.76, 6.7‑6.12.13, 6.13‑6.13.2 버전에 존재합니다.
  • 해당 커널 라인은 Ubuntu, Debian, RHEL, SLES 등 주요 배포판에 널리 포함되어 있어 노출 범위가 매우 넓습니다.

• 동일한 초기화 누락 패턴을 보이는 과거 커널 버그(CVE‑2023‑xxxx 등)와 연계될 경우 권한 상승이나 지속성 확보에 활용될 가능성이 있습니다. 현재 확인된 직접적인 체인 CVE는 없습니다.

• 커널 로그: BUG: KMSAN: uninit-value in __mptcp_expand_seq 와 같은 KMSAN 경고 발생 시 알림.
• auditd/syslog: tcp_data_queue·tcp_rcv_state_process 호출 시 비정상적인 MPTCP 옵션 파싱 오류 기록 확인.
• IDS/IPS 서명 예시:
  text복사

   1alert tcp any any -> any any (msg:"Suspicious MPTCP option"; content:"|1e|"; offset:0; depth:1; byte_test:1,>,0,2; sid:2025001;)

  (옵션 30이 비정상적인 길이·값을 가질 경우 탐지)

• 패치 적용: 배포판에서 제공하는 최신 커널 업데이트(또는 upstream Linux 5.11‑6.13.x에 포함된 보안 패치)를 즉시 설치합니다.
• MPTCP 비활성화: sysctl -w net.mptcp.enabled=0 로 MPTCP 기능을 차단하고, 방화벽에서 옵션 30이 포함된 TCP 트래픽을 차단합니다.
• 모니터링 강화: 위 탐지 지표를 지속적으로 수집·분석하여 의심스러운 패킷이나 커널 오류가 발생하면 즉시 대응합니다.

※ 우선순위는 교차검증 결과와 EPSS 0.00466(실측 악용 가능성 moderate) 및 CVSS 9.8을 고려해 이번 주 내 scheduled 로 지정되었습니다. 빠른 패치 적용과 MPTCP 비활성화가 최우선 조치입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00466 · exploit=moderate · in_scope=None