커널 TCP 스택에서 원격으로 악용 가능한 취약점이 발견되었습니다. Linux

Anthropic은 커널 TCP 스택에서 심각한 취약점(CVE-2026-98432)을 발견했다고 발표했습니다. Linux이 취약점은 특수하게 조작된 패킷을 전송하여 원격 코드 실행을 허용합니다. 실제로 작동하는 익스플로잇이 보고되었으며, 이를 이용하면 커널 수준에서 코드를 실행하고 시스템에서 원격으로 루트 권한을 획득할 수 있습니다. 이 익스플로잇은 MPTCP(Multipath TCP) 프로토콜을 지원하는 네트워크 소켓을 통해 연결을 수락하는 서버 프로세스가 있는 시스템을 공격하는 데 적합합니다. MPTCP 지원은 네트워크 소켓별로 활성화할 수 있으며, Go 표준 라이브러리에서는 Go 1.24(2025년 2월 출시)부터 기본적으로 활성화되어 있습니다.

준비된 익스플로잇은 Caddy HTTP 서버를 포함하여 Go 언어로 작성된 모든 서버 애플리케이션에서 사용할 수 있습니다. 단, 해당 애플리케이션이 생성한 수신 소켓으로 네트워크 패킷을 전송할 수 있어야 합니다. 이 취약점은 IPv4 스택에 직접적으로 존재하며 MPTCP에만 국한된 것이 아니므로 MPTCP에 의존하지 않고 작동하는 익스플로잇을 만들 수 있지만, 아직 그러한 익스플로잇은 시연되지 않았습니다. 예를 들어, net.ipv4.tcp_migrate_req=1 매개변수를 사용하는 구성에서 가능한 소켓 마이그레이션 요청 처리 시 또는 BPF_SK_REUSEPORT_SELECT_OR_MIGRATE 옵션을 사용하는 eBPF 프로그램에서 이 취약점을 악용할 수 있습니다.

이 취약점은 TCP 연결 설정 중 재전송된 SYN 요청을 동시에 처리하는 과정에서 발생하는 경쟁 조건(race condition)으로 인해 발생합니다. tcp_v4_syn_recv_sock() 함수는 ireq->ireq_opt 구조체의 매개변수를 자식 소켓으로 복사하는 대신 참조를 통해 전달하기 때문에, 특정 상황에서 소켓 매개변수를 담고 있는 inet_opt 및 ireq_opt 구조체의 메모리가 이미 해제되었음에도 불구하고 관련 소켓 옵션이 계속 사용되는 문제(use-after-free)가 발생합니다.

원격 공격은 시간 동기화된 일련의 네트워크 요청을 전송함으로써 이루어집니다. 이 공격 방식은 주소 무작위화(KASLR)를 사용하는 커널에 성공적으로 적용되지만, 경쟁 조건 발생 가능 시간대에 도달하는 데 상당한 시간이 소요되고 많은 재시도가 필요합니다. 경쟁 조건 발생 가능 시간대를 놓치더라도 커널 충돌이 아닌 핸드셰이크만 발생하므로 무한정 시도할 수 있다는 점이 공격을 단순화합니다. 공격 프로토타입에서 이 공격은 약 1시간이 소요되었는데, 메모리 레이아웃을 파악하는 데 48분, 코드 실행을 구성하는 데 5분이 걸렸습니다.

현재로서는 해당 취약점을 해결할 수 있는 확실한 방법은 없으며, 커널 업데이트를 설치하는 것이 유일하게 신뢰할 수 있는 방법입니다. 이 문제는 커널에서 시작됩니다. Linux 4.4 버전에서 발견되었으며 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 및 7.3 릴리스에서 수정되었습니다. 배포판의 취약점 수정 상태는 다음 페이지에서 확인할 수 있습니다. Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch,
페도라.

취약점을 일반적으로 차단하지 못하는 특정 공격 방식에 대응하기 위한 권장 사항에는 MPTCP 지원을 비활성화하고 커널 sysctl 매개변수 net.ipv4.tcp_migrate_req를 0으로 설정하는 것이 포함됩니다.

sysctl -w net.mptcp.enabled=0
sysctl -w net.ipv4.tcp_migrate_req=0

시스템에 소켓을 사용하는 프로세스가 있는지 확인하려면
MPTCP에서는 다음 명령어를 사용할 수 있습니다.

ip mptcp 엔드포인트 표시
ip mptcp 제한 표시

Go 프로그램에서 MPTCP 지원을 비활성화하려면 "GODEBUG=multipathtcp=0" 환경 변수를 설정하여 "multipathtcp=0" 플래그를 사용할 수 있습니다. 빌드 시 MPTCP 지원을 비활성화하려면 go.mod 파일에 "godebug multipathtcp=0"을 추가하십시오. 애플리케이션 코드에서는 net.Dialer.SetMultipathTCP 및 net.ListenConfig.SetMultipathTCP 함수를 사용하여 MPTCP를 비활성화할 수 있습니다.

논의된 문제 외에도, Anthropic은 커널에서 로컬에서 악용 가능한 여러 취약점을 발견했다고 발표했습니다. LinuxOpenBSD 및 FreeBSD에서 시스템에 루트 액세스 권한을 부여하고 격리된 컨테이너에서 탈출할 수 있도록 하는 취약점, 특수하게 설계된 웹 페이지를 열 때 시스템에서 코드 실행으로 이어지는 Chrome 및 Safari의 취약점, 커널의 취약점 등이 발견되었습니다. Windows이로 인해 시스템이 다운될 수 있으며, 플랫폼 취약성이 발생할 수 있습니다. Android이 취약점을 이용하면 화면 잠금을 해제하지 않고도 개인 정보와 사진에 접근할 수 있습니다(이 공격은 구글 픽셀 9 스마트폰에서 시연되었습니다).

추가 :

• Nginx에서는 수신 네트워크 소켓에 대해 IPPROTO_MPTCP 옵션을 활성화하는 기능이 버전 1.29.7부터 제공되었지만 기본적으로 사용되지는 않습니다.
• Lighttpd에서는 1.4.76 버전부터 MPTCP를 활성화하는 옵션을 사용할 수 있습니다.
• Apache httpd에서는 MPTCP를 지원하는 패치가 2024년에 Apache httpd 2.5-HEAD 브랜치에 추가되었습니다.
• systemd에서는 소켓을 통해 활성화할 때 MPTCP를 활성화하는 기능이 버전 257에 추가되었습니다.
• Apache Traffic Server에서는 버전 9.2.4부터 MPTCP 활성화 옵션이 지원됩니다.
• HAProxy에서는 버전 3.1.0부터 "mptcp{,4,6}@" 옵션을 사용할 수 있습니다. ".
• Traefik에서는 2.11.26, 3.4.2 및 v3.5.0-rc1 릴리스부터 IPPROTO_MPTCP 플래그 설정이 기본적으로 활성화되어 있습니다.
• Valkey DBMS에서는 버전 9.0.0부터 "--mptcp" 옵션과 "mptcp yes" 및 "repl-mptcp yes" 설정을 사용할 수 있습니다.

출처 : opennet.ru