CVE 데이터베이스CVE-2021-1906

최종 갱신 2026-06-17English Advisory →

CVE-2021-19065.5/MEDIUMCISA KEV 등재

퀄컴 스냅드래곤 GPU 주소 할당 해제 오류로 인한 서비스 거부(DoS) 취약점 (CVE-2021-1906)

영향받는 벤더 / 생태계

qualcomm

대상 컴포넌트 / 패키지

snapdragon auto, snapdragon compute, snapdragon connectivity, snapdragon consumer iot, snapdragon industrial iot, snapdragon mobile, snapdragon voice & music, snapdragon wearables

권고문 발행일

2021-05-07

CVSS v3.1

5.5

MEDIUM

30일 악용확률

0.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Snapdragon Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice & Music, Wearables 칩셋을 탑재한 안드로이드 및 임베디드 디바이스

파급 효과

로컬 권한을 가진 공격자가 GPU 메모리 매핑 실패를 유도하여 시스템 자원을 고갈시키고, 신규 GPU 주소 할당을 불가능하게 만들어 기기를 완전한 먹통(DoS) 상태로 전환할 수 있습니다

권장 조치

칩셋 제조사(Qualcomm) 및 디바이스 OEM(삼성, 구글 등)이 배포한 2021년 5월 이후 최신 보안 패치를 적용하십시오

영향받는 제품 및 버전 범위

Qualcomm Snapdragon Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice & Music, Wearables 칩셋 기반 디바이스 전체

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

안드로이드 단말기 및 임베디드 리눅스 환경에서 최신 커널 및 펌웨어 업데이트를 적용하십시오. ADB(Android Debug Bridge)를 통해 현재 패치 레벨을 확인하고 업데이트를 강제 적용할 수 있습니다.

bash

# 디바이스의 안드로이드 보안 패치 레벨 확인 (2021-05-01 이후 버전 필요)
adb shell getprop ro.build.version.security_patch

# 시스템 업데이트 서비스 강제 실행 (AOSP 계열)
adb shell am start -n com.google.android.gms/.update.SystemUpdateActivity

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 임베디드 장비의 경우, 신뢰할 수 없는 로컬 사용자의 쉘 접근을 차단하고 디버깅 포트(ADB)를 비활성화하여 공격 표면을 최소화해야 합니다.

bash

# ADB 네트워크 디버깅 비활성화 및 포트 차단
adb kill-server

# 디바이스 내부에서 개발자 옵션 및 USB 디버깅 비활성화 설정 확인
adb shell settings put global adb_enabled 0

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

커널 로그(dmesg)에서 GPU 주소 할당 실패(kgsl_sharedmem 또는 kgsl_iommu 관련 에러)가 반복적으로 발생하는지 모니터링하는 스크립트입니다.

bash

# GPU 드라이버(KGSL) 관련 메모리 할당 오류 로그 실시간 모니터링
adb shell "dmesg | grep -Ei 'kgsl|gpu|address allocation|deregister'"

# 특정 프로세스가 비정상적으로 많은 GPU 메모리 매핑을 유지하고 있는지 확인
adb shell "cat /d/kgsl/proc/*/mem | sort -n -k 2"

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 취약점이므로, 퀄컴 2021년 5월 보안 권고문을 참조하여 즉시 제조사 제공 최신 펌웨어로 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-1906)은 퀄컴 스냅드래곤(Qualcomm Snapdragon) 칩셋 제품군의 GPU 드라이버 커널 모듈에서 발생하는 메모리 관리 취약점입니다. 특정 작업 실패 시 가상 GPU 주소 공간의 등록 해제(Deregistration) 처리가 올바르게 수행되지 않아 발생합니다. 이로 인해 이미 해제되었어야 할 메모리 매핑 정보가 커널 내에 잔존하게 되며, 결과적으로 새로운 GPU 가상 주소 공간을 할당하려 할 때 할당 실패(Allocation Failure)를 유발합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

로컬 권한을 가진 악성 애플리케이션 또는 공격자는 의도적으로 GPU 메모리 매핑 및 할당 요청을 반복적으로 수행한 뒤, 특정 에러 조건(Failure Path)을 강제로 트리거합니다. 정상적인 드라이버라면 에러 발생 시 기존에 예약된 가상 주소를 즉시 해제해야 하지만, 취약한 드라이버는 이 단계를 누락합니다. 공격자는 이 누수(Leak) 메커니즘을 반복 실행하여 GPU 가상 주소 공간 전체를 고갈시킬 수 있습니다. 이후 시스템의 정상적인 그래픽 렌더링 프로세스나 타 앱이 GPU 자원을 요청할 때 주소 할당이 거부되어 화면이 멈추거나 시스템 커널 패닉(Kernel Panic)이 발생합니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인된 고위험군 취약점입니다. 모바일 기기뿐만 아니라 스마트 팩토리의 Industrial IoT, 커넥티드 카의 Snapdragon Auto 등 가용성이 극도로 중요한 인프라 환경에서 기기 작동 불능 상태를 초래하여 비즈니스 연속성에 심각한 타격을 줄 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Improper handling of address deregistration on failure can lead to new GPU address allocation failure. in Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice & Music, Snapdragon Wearables

https://www.qualcomm.com/company/product-security/bulletins/may-2021-bulletin

출처: product-security@qualcomm.com · Patch, Vendor Advisory

https://www.qualcomm.com/company/product-security/bulletins/may-2021-bulletin

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1906

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-1906)

FAQ

Q1. CVE-2021-1906 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-1906의 기본 점수는 CVSS 5.5 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 0.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-1906에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 qualcomm이며, 대상 컴포넌트는 snapdragon auto, snapdragon compute, snapdragon connectivity, snapdragon consumer iot, snapdragon industrial iot, snapdragon mobile, snapdragon voice & music, snapdragon wearables입니다. 상세 영향 범위: Qualcomm Snapdragon Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice & Music, Wearables 칩셋 기반 디바이스 전체

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 칩셋 제조사(Qualcomm) 및 디바이스 OEM(삼성, 구글 등)이 배포한 2021년 5월 이후 최신 보안 패치를 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동