CVE-2026-98432는 리눅스 커널의 IPv4 TCP 연결 처리에 영향을 주는 해제 후 사용(use-after-free) 취약점이다. Go 보안팀은 패치된 커널로 업그레이드하는 것을 가장 좋은 해결책으로 권고했다.
앤스로픽이 설명한 공격 사례에서는 Multipath TCP(MPTCP) 리스너를 노출한 서버에서 원격 코드 실행이 가능했다. 다만 Go 보안팀은 근본적인 버그가 MPTCP에만 국한되지 않으며, MPTCP 리스너가 없는 시스템도 유사한 공격에 취약할 수 있다고 밝혔다. 자세한 내용은 CVE-2026-98432와 앤스로픽의 취약점 분석에서 확인할 수 있다.
Go 1.24부터 리눅스에서 리스닝 소켓의 MPTCP가 기본 활성화된다. 프로그램 환경에 GODEBUG=multipathtcp=0을 설정하면 실행 시 기본값을 끌 수 있고, 주 모듈의 go.mod 파일에 godebug multipathtcp=0을 넣으면 빌드 시 기본값을 끌 수 있다. 소켓별로는 net.Dialer.SetMultipathTCP와 net.ListenConfig.SetMultipathTCP를 사용해 MPTCP를 켜거나 끌 수 있으며, 이 설정은 GODEBUG 값을 덮어쓴다. Go 1.24의 기본 동작은 문서에서 확인할 수 있다.
Go 보안팀은 프로그램별로 MPTCP를 끄는 방안은 취약한 완화책이라고 경고했다. MPTCP 리스너 하나라도 실수로 외부에 노출되면 시스템이 여전히 취약할 수 있고, 가능한 모든 공격이 MPTCP에 의존한다고 보장할 수도 없기 때문이다. Go 보안팀은 이번 문제에 대응해 Go의 기본 동작을 바꾸는 것은 아직 이르다고 밝혔으며, 추가 논의는 Go 이슈 82717에서 진행할 예정이다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요