Anthropic의 보안 연구원들은 Multipath TCP(MPTCP) 리스너가 활성화된 서버에서 인증 없이 원격으로 루트 권한 명령을 실행할 수 있는 심각한 리눅스 커널 취약점(CVE-2026-98432) 익스플로잇을 개발하였다. 이 취약점은 커널의 IPv4 TCP 네트워킹 코드의 use-after-free 결함에서 비롯되었으며, Ubuntu, Red Hat Enterprise Linux(RHEL), Rocky Linux 등 주요 배포판의 4.4 버전 이후 커널에 영향을 미친다. MPTCP는 여러 네트워크 경로를 동시에 사용하는 TCP 기능으로, 일부 환경에서는 기본적으로 활성화될 수 있다.
해당 취약점은 인증 없이도 악용이 가능하지만, Red Hat은 실제로 익스플로잇이 복잡하며 단순한 악의적 패킷 전송만으로는 공격이 어렵다고 평가하여 서비스 거부(DoS) 위험에 중점을 두고 있다. 그러나 Anthropic 연구진은 특정 조건에서 원격 코드 실행이 가능함을 시연하였으며, 미공개 Claude AI 모델이 커널 주소 공간 무작위화(KASLR)를 우회하고 루트 권한 명령 실행에 성공하였다. 특히 Go 1.24부터는 리눅스에서 TCP 리스너에 대해 MPTCP가 기본 활성화되어, 관리자가 인지하지 못한 채 취약점에 노출될 수 있다.
현재 리눅스 커널 공식 저장소와 주요 배포판에서 패치가 진행 중이나, 모든 배포판에 보안 업데이트가 적용된 것은 아니다. Ubuntu, RHEL, Rocky Linux 등은 패치가 진행 중이며, Debian, Oracle Linux, Amazon Linux, SUSE 등 일부 배포판은 이미 수정된 커널 패키지를 배포하였다. 관리자는 각 배포판의 보안 권고를 확인하고, 패치가 적용되기 전까지 신뢰할 수 있는 네트워크로 접근을 제한하거나, 임시 방화벽 규칙을 적용해 위험을 줄일 것을 권고받고 있다. 단순히 MPTCP를 비활성화하는 것만으로는 완전한 대응이 되지 않으므로 주의가 필요하다.
요약
- 리눅스 커널의 MPTCP 관련 취약점(CVE-2026-98432)으로 인증 없이 원격 루트 권한 실행이 가능하다.
- Ubuntu, RHEL, Rocky Linux 등 주요 배포판이 영향을 받으며, 일부는 아직 패치가 적용되지 않았다.
- Anthropic 연구진은 AI 모델을 활용해 실제 원격 코드 실행 익스플로잇을 개발하였다.
- 단순히 MPTCP 비활성화만으로는 완전한 대응이 어렵고, 임시 방화벽 규칙 등 추가 조치가 필요하다.
- 관리자는 각 배포판의 보안 권고를 확인하고, 신속히 커널 업데이트를 적용해야 한다.
Reference
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.