비트코인 라이트닝 노드 업데이트, 커널 패치는 별도 적용

라이트닝랩스(Lightning Labs)는 10월 30일 비트코인(BTC) 라이트닝 노드 소프트웨어 LND의 보안 업데이트를 공개했다. 업데이트는 시연된 원격 공격 경로를 차단하지만, LND가 실행되는 리눅스 커널의 취약점까지 고치지는 않는다.

이번 업데이트는 LND v0.20.7-beta와 v0.21.6-beta다. 두 버전은 리눅스에서 기본으로 열리던 MPTCP 리스너를 비활성화한다. 라이트닝랩스는 공식 릴리스 노트에서 이를 공격 경로에 대한 완화 조치로 설명하고, 커널 패치가 취약점의 해결책이라고 밝혔다.

취약점 식별번호는 CVE-2026-98432다. 리눅스 커널이 IPv4 TCP 연결을 처리하면서 이미 해제된 메모리를 다시 참조하는 use-after-free 오류다. 우분투 보안 추적기는 CVSS 3.1 기준 심각도를 9.8점으로 표시했다.

앤트로픽(Anthropic)은 10월 27일 연구 발표에서 MPTCP 리스너가 열린 리눅스 서버에 원격으로 명령을 실행하는 공격을 시연했다고 밝혔다. 이 시연은 인증이나 이용자 조작 없이 이뤄졌다. 공개된 공격 경로에는 MPTCP 리스너가 쓰였지만, 커널 결함 자체가 MPTCP에만 한정되는 것은 아니다. 앤트로픽의 연구 발표에 시연 내용이 담겼다.

MPTCP(Multipath TCP)는 하나의 TCP 연결에서 여러 네트워크 경로를 함께 사용할 수 있게 하는 확장이다. 리스너는 다른 기기의 연결 요청을 기다리는 서버 프로그램의 통신 창구다.

Go 1.24부터 리눅스의 Go 프로그램은 기본 설정으로 MPTCP 리스너를 열 수 있다. 이에 따라 LND 0.21.x는 피어 연결과 gRPC·REST 인터페이스에 MPTCP 리스너를 열 수 있었다. Go 프로젝트의 관련 논의도 이 기본 동작을 다룬다.

라이트닝랩스는 운영자에게 LND 업데이트와 호스트의 MPTCP 비활성화, 배포판이 제공하는 커널 보안 패치 적용을 안내했다. LND 업데이트는 해당 애플리케이션의 리스너 설정을 바꾸지만 같은 서버에서 실행되는 다른 프로그램이나 커널에는 영향을 주지 않는다.

LND를 바로 업데이트할 수 없는 운영자는 기존 바이너리를 GODEBUG=multipathtcp=0 설정으로 실행할 수 있다. 이 조치도 해당 프로그램의 리스너에 한정된다. 컨테이너로 노드를 운영하는 경우에는 네트워크 네임스페이스별 MPTCP 설정도 점검해야 한다.

임시 완화책을 두고 캐노니컬(Canonical)과 레드햇(Red Hat)은 커널 패치가 필요하다는 점을 함께 강조했다. 캐노니컬은 MPTCP를 비활성화해도 커널 결함 자체는 남는다고 밝혔다. 레드햇은 기본 설정에서 MPTCP를 꺼둔 시스템도 취약할 수 있으며, IPv4 옵션 패킷 필터링은 노출을 줄이는 조치일 뿐 패치를 대신하지 못한다고 설명했다. 캐노니컬 안내와 레드햇 보안 공지에 각 기관의 지침이 담겼다.

11월 9일 갱신된 우분투 추적기에서 일반 linux 패키지는 Ubuntu 26.10의 수정 버전을 7.3.0-10.10으로 표시했다. Ubuntu 24.04 LTS는 6.8.0-149.149, 22.04 LTS는 5.15.0-203.213에서 수정 작업 중으로 표시됐다.

캐노니컬은 11월 2일 Ubuntu 22.04와 24.04용 수정판이 검증용 -proposed 저장소에 있다고 밝혔다. 안정성 시험을 마친 수정판은 일반 업데이트 저장소에 배포할 예정이라고 설명했다. 커널 종류와 패키지에 따라 수정 상태가 달라질 수 있어 배포판 이름만으로 패치 적용 여부를 판단하기 어렵다.

해커뉴스 토론에서는 MPTCP가 취약점 자체의 조건인지 공개 시연에 사용된 경로인지, IPv4 옵션 패킷 필터링이 실제 네트워크에서 작동하는지를 두고 의견이 오갔다. 11월 10일 확인 당시 게시물에는 751점과 댓글 334개가 표시됐다. 이는 이용자 토론으로, 실제 공격 발생을 확인하는 자료는 아니다. 해커뉴스 토론에서 관련 의견을 볼 수 있다.

AWS는 11월 6일 갱신한 보안 공지에서 자사 관측 범위에서 당시 취약점 악용 증거를 찾지 못했다고 밝혔다. 이 내용은 AWS의 관측 범위에 한정된다.

커널 보안 업데이트를 설치한 뒤에는 재부팅해야 새 커널이 적용된다. 현재 실행 중인 커널 버전은 uname -r 명령으로 확인할 수 있다.