원문 캡처 · rescana.com
원문 캡처 · rescana.com

리눅스 커널의 IPv4 TCP 연결 처리에서 메모리 해제 후 사용(use-after-free)을 일으킬 수 있는 취약점 CVE-2026-98432가 공개됐다. 2026년 10월 29일 기준 데비안·오라클 리눅스·아마존 리눅스·SUSE는 일부 버전의 수정 커널을 배포했지만, Red Hat Enterprise Linux(RHEL)와 우분투는 아직 패치하지 않았다.

커널 CVE 팀은 10월 15일 취약점을 공개하고 24일 CVSS 3.1 기준 9.8점, ‘치명적’으로 평가했다. 공격자는 인증이나 사용자 조작 없이 네트워크를 통해 취약점에 접근할 수 있다고 봤다. 반면 레드햇·오라클·SUSE는 공격 성공이 어렵다는 이유로 8.1점, 아마존은 7.0점으로 평가했다. 레드햇의 공개 자료에는 5.9점부터 8.1점까지 서로 다른 평가도 있다. NVD는 자체 점수를 내지 않았다.

커널 CVE 팀에 따르면 IPv4 연결이 완료될 때 요청에 저장된 IP 옵션을 새 소켓으로 복사하지 않고 넘기는 과정에서, 다른 CPU가 같은 요청으로 SYN-ACK을 만드는 동안 메모리가 먼저 해제될 수 있다. 이 경우 해제된 메모리를 계속 사용한다. 문제는 Linux 4.4부터 존재했고, 수정은 옵션 메모리를 RCU 유예 기간이 지난 뒤 해제하도록 바꿨다. 수정 커밋은 여기에 공개돼 있다.

일반적인 IPv6 경로는 옵션을 복사하므로 주된 문제의 영향을 받지 않는다. 다만 요청 소켓을 리스너 사이에서 옮기는 기능에서는 별도의 유사한 경쟁 조건이 있을 수 있다. 이 경로는 net.ipv4.tcp_migrate_req=1이거나 BPF_SK_REUSEPORT_SELECT_OR_MIGRATE eBPF 프로그램을 사용할 때에만 해당한다. tcp_migrate_req는 기본적으로 비활성화돼 있다. 커널 문서와 취약점 공지를 참고할 수 있다.

배포판별 패치와 영향

10월 29일 기준 데비안 12·13, 오라클 리눅스의 UEK, 아마존 리눅스 2023의 일부 커널, SUSE의 일부 릴리스는 수정 버전을 제공했다. 수정 커널이 있는 시스템은 설치한 뒤 해당 커널로 재부팅해야 수정이 적용된다. 자체 커널을 빌드하는 경우 커널 CVE 팀은 수정 사항만 따로 옮기기보다 최신 안정 버전으로 업데이트할 것을 권고한다.

RHEL 8·9·10과 OpenShift Container Platform 4는 수정이 ‘연기됨’으로 표시됐고 배포 날짜가 없다. 레드햇은 수정이 보장되지 않는다는 의미라고 설명한다. 우분투 22.04·24.04·26.04·26.10은 수정 작업 중이며, 16.04·18.04·20.04도 취약 상태로 기재됐다. 제품별 상태와 패키지는 각 배포판의 레드햇, 우분투, 데비안, 오라클, 아마존 리눅스, SUSE 공지에서 확인해야 한다. 배포판 기반 제품과 호스팅 서비스도 해당 배포판의 상태를 따른다.

앤스로픽은 10월 27일, 초기 지시 뒤 자사 AI 모델이 원격 공격자가 자격 증명 없이 특정 리눅스 서버에서 루트 권한으로 명령을 실행할 수 있는 익스플로잇을 작성했다고 밝혔다. 앤스로픽이 설명한 공격은 커널 주소를 유출해 주소 공간 배치 난수화를 우회한 뒤 커널 콜백을 장악하는 두 단계로 이뤄진다. 테스트에서는 주소 유출에 48분, 명령 실행에 5분이 더 걸렸다고 했다. 다만 익스플로잇과 테스트한 커널 버전·설정은 공개하지 않았고, 다중 경로 TCP(MPTCP) 리스너가 없는 서버에서도 같은 공격이 가능한지 밝히지 않았다. 이 주장은 독립적으로 검증되지 않았다. 앤스로픽의 설명과 커널 MPTCP 문서를 참고할 수 있다. 리눅스에서 MPTCP를 사용하려면 애플리케이션이 소켓에서 이를 요청해야 하지만, Go 1.24부터는 지원되는 리눅스에서 표준 네트워크 리스너가 기본적으로 MPTCP를 사용한다는 점도 고려해야 한다. Go 1.24 릴리스 노트

10월 29일 기준 어떤 공급업체·CERT·커널 CVE 팀도 실제 공격 사례를 보고하지 않았으며, CISA의 알려진 악용 취약점(KEV) 목록에도 올라 있지 않다. 공개 익스플로잇 코드나 침해 지표도 보고되지 않았다. CVE 기록과 CISA KEV 목록에서 상태를 확인할 수 있다.

수정이 없는 RHEL·우분투 시스템은 인터넷에 노출된 호스트와 외부 IPv4 TCP 연결을 받는 서비스를 먼저 파악하고, 배포판 공지를 확인하며 업데이트와 재부팅 일정을 준비할 수 있다. MPTCP 리스너와 net.ipv4.tcp_migrate_req 설정, 재사용 포트 마이그레이션 eBPF 프로그램도 확인할 수 있다. 다만 MPTCP 비활성화나 마이그레이션 설정 확인은 취약점의 전체 경로를 막는 수정으로 확인된 것이 아니다. IPv4 Record Route 또는 Timestamp 옵션이 든 패킷을 경계 장비에서 차단하는 방법도 노출을 줄일 가능성이 있을 뿐, 공급업체가 해결책으로 보증하지 않았다. 레드햇은 사용 편의성·적용 범위·안정성 기준을 충족하는 완화책이 없다고 밝혔다.