리눅스 커널 보안 업데이트 안내
AlmaLinux OS 운영 체제에서 로컬 권한 상승으로 이어질 수 있는 심각한 커널 취약점이 발견되어 긴급 패치된 커널이 배포되었습니다. 이번 취약점은 ZDI-CAN-33367로 식별되었으며, 권한이 없는 로컬 사용자가 읽기 전용 파일의 내용을 메모리 상에서 수정할 수 있는 치명적인 결함을 포함하고 있습니다.
이 취약점은 과거에 알려진 ‘Dirty Frag’ 및 ‘Fragnesia’와 유사한 유형의 버그로, 커널의 네트워킹 코드 내 다른 경로를 통해 발생합니다. 다중 사용자 환경이나 컨테이너 빌드 팜, CI 러너 등 신뢰할 수 없는 사용자가 셸 권한을 얻을 수 있는 시스템을 운영 중이라면 즉각적인 대응이 필요합니다.
취약점 개요 및 핵심 내용
ZDI-CAN-33367 취약점은 커널의 skb_zerocopy() 함수에서 발생합니다. 이 함수는 NFQUEUE 및 Open vSwitch에서 버퍼 간 패킷 데이터를 이동할 때 사용됩니다. 커널이 splice(2) 등을 통해 파일 페이지를 네트워크 패킷에 연결할 때, 해당 페이지가 커널 소유가 아님을 나타내기 위해 SKBFL_SHARED_FRAG 마커를 표시해야 합니다.
하지만 skb_zerocopy() 과정에서 이 마커가 누락되는 버그가 발견되었습니다. 이로 인해 IPsec ESP가 해당 페이지를 제자리에서 복호화하게 되며, 결과적으로 공격자가 읽기 권한만 가진 파일의 페이지 캐시(메모리 내 복사본)를 직접 수정할 수 있게 됩니다. 디스크상의 실제 파일은 수정되지 않지만, 시스템이 재부팅되거나 캐시가 제거되기 전까지 모든 프로세스는 공격자가 조작한 데이터를 읽게 됩니다. 이를 통해 /usr/bin/su와 같은 파일을 변조하여 루트 권한을 획득할 수 있습니다.
영향 받는 환경
현재 지원되는 모든 AlmaLinux 버전이 이 취약점의 영향을 받습니다. 취약점 보고 당시 작동하는 PoC(개념 증명) 코드가 함께 공개되었으며, 이는 일반 사용자 권한으로 실행 가능합니다.
- 영향 받는 배포판: AlmaLinux 8, 9, 10
- 취약점 점수 (CVSS): 7.8 (High)
- CVE 번호: 원문 확인 (현재 할당 대기 중)
내 서버 커널 버전 확인 방법
현재 운영 중인 서버의 커널 버전을 확인하여 패치 적용 여부를 판단해야 합니다. 터미널에서 아래 명령어를 실행하십시오.
uname -r확인된 버전이 아래의 패치된 커널 버전보다 낮다면 즉시 업데이트를 진행해야 합니다.
업데이트 및 해결 방법
AlmaLinux 팀은 업스트림(RHEL) 패치가 나오기 전에 선제적으로 수정 버전을 배포했습니다. 이제 테스트 저장소를 활성화할 필요 없이 정식 저장소에서 바로 업데이트가 가능합니다.
1. 패키지 목록 갱신 및 커널 업데이트
sudo dnf clean metadata
sudo dnf upgrade
sudo reboot2. 패치된 커널 버전 확인
재부팅 후 uname -r 명령어로 아래 버전 이상인지 확인합니다.
- AlmaLinux 8: kernel-4.18.0-553.178.1.el8_10
- AlmaLinux 9: kernel-5.14.0-687.60.1.el9_8
- AlmaLinux 10: kernel-6.12.0-211.69.1.el10_2
만약 즉시 재부팅이 어려운 상황이라면, 임시 방편으로 IPsec ESP 모듈을 차단하여 공격 경로를 막을 수 있습니다. (단, IPsec을 사용하는 환경에서는 서비스가 중단되므로 주의하십시오.)
sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' > /etc/modprobe.d/zdi-can-33367.conf; rmmod esp4 esp6 2>/dev/null; true"이후 아래 명령어로 모듈이 로드되지 않았는지 확인합니다. 출력 결과가 없어야 합니다.
lsmod | grep -E '^esp(4|6)'정리
이번 ZDI-CAN-33367 취약점은 로컬 사용자가 시스템의 핵심 파일을 메모리 상에서 변조할 수 있게 하는 위험한 결함입니다. AlmaLinux는 보안을 최우선으로 고려하여 업스트림보다 빠르게 패치를 제공하고 있습니다. 관리자 여러분께서는 신속히 커널 업데이트를 수행하고 시스템을 재부팅하여 보안 위협으로부터 서버를 보호하시기 바랍니다.