리눅스 다중 경로 TCP 취약점이 원격 코드 실행을 허용한다

앤스로픽은 10월 27일, 다중 경로 TCP를 쓰는 리눅스 시스템에서 원격 공격이 가능한 취약점을 공개했습니다. Go 보안팀은 이틀 뒤 Go 프로그램이 기본 설정에서 이 통신 방식을 사용한다고 밝혔습니다. 저는 사용자가 따로 켜지 않아도 기본값만으로 취약점의 적용 범위가 넓어질 수 있다는 점이 가장 마음에 걸립니다.

Go 프로그램의 기본 MPTCP 설정이 리눅스 취약점 노출을 키운다는 보도와 이어집니다. 그 보도는 프로그램별 설정 변경 대신 패치된 커널을 적용하라는 Go 보안팀의 권고를 전했습니다. 이번 취약점은 그 권고가 나온 이유를 실제 커널 결함으로 보여 줍니다.

반가운 점은 수정이 커널에 들어갔다는 것입니다. 연결 정보 구조체를 너무 일찍 해제하지 않고, 안전한 시점이 지난 뒤에 해제하도록 바꿨습니다. 프로그램마다 우회 설정을 하는 대신 커널에서 문제를 고칠 수 있다는 점이 실질적입니다.

다만 노출은 리눅스 시스템 전체에 자동으로 생기지 않습니다. 열린 MPTCP 리스너에서 재전송된 SYN 응답과 다른 스레드의 연결 수립이 겹쳐야 합니다. 이때 사용 후 해제(use-after-free)로 커널 메모리가 노출될 수 있습니다. 공격자가 제어하는 페이로드가 버퍼 오버플로(buffer overflow)를 일으키면 원격 코드 실행으로 이어질 수 있습니다. Go 사용 여부만으로 노출을 확정할 수는 없으며, 리스너와 커널 수정 여부가 대응을 가릅니다.

오늘 서버의 리눅스 배포판에서 CVE-2026-98432 수정 커널을 제공하는지 확인하고, 제공된다면 업데이트하십시오. Go 서비스가 있다면 다중 경로 TCP 리스너가 열려 있는지도 살펴보십시오. 수정 커널이 아직 없다면 해당 서버를 기록해 두고 배포판의 패치 공지를 다시 확인하십시오.

운영 중인 서버의 커널 업데이트를 마지막으로 직접 확인했을 때, 무엇부터 살펴보셨습니까?