CVE-2026-98432의 공개된 원격 관리자 권한 실행 시연은 MPTCP 연결을 받는 리눅스 서버를 대상으로 했지만, 취약점 자체는 MPTCP에만 한정되지 않는다.
23pds 슬로우미스트(SlowMist) 최고정보보안책임자(CISO)는 모든 우분투(Ubuntu) 서버에서 사용자 조작 없이 원격으로 루트 권한을 얻을 수 있다는 주장이 부정확하다고 말했다. 그는 최근 비전문가와 온라인 영향력자들이 공격 조건을 빼고 위험을 과장했다고 지적했다고 포사이트뉴스(Foresight News)가 2일 전했다.
결함은 IPv4 TCP 연결 처리 과정에서 발생하는 메모리 해제 후 사용(use-after-free) 오류다. 앤스로픽(Anthropic)은 10월 27일 연구 발표에서 멀티패스 TCP(MPTCP) 수신 소켓을 둔 서버에 원격으로 명령을 실행해 루트 권한을 얻는 공격을 시연했다. Go 보안팀은 10월 29일 공지에서 이 시연에는 MPTCP 수신 소켓이 필요했지만, 결함 자체는 MPTCP에 국한되지 않으며 다른 공격도 가능할 수 있다고 밝혔다.
23pds는 리눅스의 기본 설정에서 MPTCP가 활성화돼 있지 않다고 설명했다. 다만 Go 보안팀은 Go 1.24부터 리눅스에서 Go 프로그램의 수신 소켓이 MPTCP를 기본으로 사용한다고 공지했다. 운영체제의 기본 설정과 서버 프로그램의 연결 설정은 구분해 살펴야 한다.
레드햇(Red Hat)은 특별히 조정된 IPv4 TCP 요청을 보내는 인증 없는 원격 공격자가 커널 메모리 손상이나 즉각적인 시스템 충돌을 일으킬 수 있다고 보안 공지에서 평가했다. 다만 안정적으로 원격 코드를 실행하려면 정교한 힙 제어가 필요하다고 덧붙였다.
10월 30일 기준 데비안(Debian) 12·13 보안 저장소에는 수정된 커널 패키지가 나왔다고 보안 추적표에 표시됐다. 우분투 보안 페이지는 취약점 점수를 9.8점으로 표시하고, 22.04·24.04·26.04 기본 커널을 취약 상태이자 수정 작업 중으로 분류했다. RHEL 8·9·10의 수정은 잠정 보류됐다고 포사이트뉴스는 전했다.
본지는 앞서 솔라나 재단 관계자가 우분투 패치 전 검증자들에게 임시 조치를 권고했다고 보도했다. 아마존웹서비스(AWS)는 보안 공지에서 수정된 커널을 설치한 뒤 재부팅해야 패치가 적용된다고 안내했다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular