CVE-2026-98432: Linux Kernel 취약점 및 배포판별 조치 현황

태그: CVE-2026-98432

This topic has 0개 답변, 1명 참여, and was last updated 1 day, 4 hours 전에 by 태랑. This post has been viewed 34 times

2026년 11월 7일 11:02 오후 #126758

태랑

키 마스터

댓글1089 총합1400

@admin

CVE-2026-98432: Linux Kernel 취약점 및 배포판별 조치 현황

안녕하세요 운영자 태랑입니다.

최근에 PHP나 node,js 등 여러 보안 취약점이 나오고 있는 가운데 이번에는 리눅스의 TCP 처리 관련된 중대한 보안결함이 보고되어 정리 및 공유드립니다.

참고로 현재 페도라 한국 사용자 모임 사이트 시스템은 최근 발견되고 있는 취약점에 모두 빠르게 대응하고 있습니다.

다음과 같이 RHEL, Amazon Linux, Fedora Linux, Debian, Ubuntu 대상 보안 업데이트 정리하였습니다.

기준일: 2026년 11월 7일 · 배포판별 패키지 상태는 릴리스, 지원 구독, 저장소 및 업데이트 채널에 따라 달라질 수 있습니다.

핵심 요약

이 취약점은 Linux 커널 IPv4 TCP 처리 과정의 경쟁 상태(race condition)로 발생하는 use-after-free / expired pointer dereference 문제입니다.
원격 공격자가 조작한 IPv4 TCP 패킷으로 커널 충돌(DoS)을 유발할 수 있으며, 메모리 손상 및 잠재적 코드 실행 가능성도 보안 공지에서 위험으로 다뤄집니다.
배포판 커널은 보안 수정 사항을 기존 커널에 백포트할 수 있으므로, upstream 버전 숫자만으로 패치 여부를 판정하면 안 됩니다.
수정 커널을 설치한 뒤에는 재부팅하여 실제 실행 중인 커널을 교체해야 합니다.

1. 취약점 개요

항목	내용
CVE	CVE-2026-98432
영역	Linux Kernel IPv4 TCP networking subsystem
취약점 유형	Use-After-Free / Expired Pointer Dereference (CWE-825)
주요 영향	원격 서비스 거부(커널 crash), 메모리 손상, 잠재적 임의 코드 실행
심각도	CVSS 3.1 기준 9.8(Critical)로 보고됨
공격 조건	네트워크를 통한 IPv4 TCP 패킷 전송. 별도 인증이나 사용자 상호작용이 필요하지 않은 것으로 분류됨

기술적 원인

문제는 IPv4 TCP 연결 처리 경로에서 요청 소켓의 옵션 포인터가 자식 소켓으로 안전하게 이전·관리되지 않는 경쟁 상태와 관련됩니다. `tcp_v4_syn_recv_sock()` 경로에서 `ireq->ireq_opt` 포인터가 새 소켓의 `newinet->inet_opt` 쪽으로 복사 또는 적절한 참조 관리 없이 넘어갈 수 있습니다.

동시에 다른 CPU가 재전송된 SYN 패킷을 처리하면서 SYN-ACK 전송 경로(`tcp_v4_send_synack()`, `inet_csk_route_req()` 등)에서 해당 옵션 포인터를 읽을 수 있습니다. 원래 객체가 해제된 뒤에도 포인터를 참조하면 이미 수명이 끝난 메모리를 읽는 문제가 발생합니다.

즉, 단순한 설정 오류가 아니라 커널 내부의 객체 수명 및 동시성 관리 문제입니다.

MPTCP와의 관계

MPTCP(Multipath TCP)가 공격 시연 경로로 언급되더라도, 취약점 자체가 MPTCP 기능에만 한정되는 것은 아닙니다. MPTCP를 비활성화하는 것만으로 취약점이 완전히 해결된다고 볼 수 없으며, 근본 조치는 배포판이 제공하는 수정 커널로 업데이트하는 것입니다.

2. Upstream Linux 커널 수정 기준

아래는 KISA 공지에 정리된 upstream 커널 계열별 수정 버전 기준입니다. 해당 버전 이상에 수정 사항이 반영된 것으로 안내되어 있습니다.

영향 커널 계열	수정 버전
4.4 이상 ~ 5.10.272 미만	5.10.272 이상
5.11 이상 ~ 5.15.223 미만	5.15.223 이상
5.16 이상 ~ 6.1.190 미만	6.1.190 이상
6.2 이상 ~ 6.6.159 미만	6.6.159 이상
6.7 이상 ~ 6.12.113 미만	6.12.113 이상
6.13 이상 ~ 6.18.56 미만	6.18.56 이상
6.19 이상 ~ 7.2.10 미만	7.2.10 이상
7.3 미만	7.3 이상

주의: 위 표는 upstream 기준입니다. RHEL, Amazon Linux, Debian, Ubuntu 등은 수정 내용을 기존 커널 버전에 백포트할 수 있습니다. 따라서 배포판별 공식 보안 공지와 패키지 릴리스 번호를 기준으로 확인해야 합니다.

3. 배포판별 수정 및 배포 현황

3.1 Red Hat Enterprise Linux (RHEL)

Red Hat CVE 추적 페이지에서 RHEL 8, 9, 10 및 여러 EUS·특수 지원 스트림에 대한 수정 상태와 RHSA(보안 권고)가 확인됩니다. 스트림별로 별도 패키지가 배포되므로 하나의 공통 커널 버전으로 정리할 수 없습니다.

제품/스트림	확인된 보안 권고	비고
RHEL 10	RHSA-2026:93413	2026-11-01 등록
RHEL 10.0 EUS	RHSA-2026:94508	2026-11-03 등록
RHEL 9.6 EUS	RHSA-2026:94438	2026-11-03 등록
RHEL 9.4 Update Services for SAP	RHSA-2026:94109	2026-11-02 등록
RHEL 9.2 Update Services for SAP	RHSA-2026:94477, RHSA-2026:94558	스트림별 확인 필요
RHEL 8.4 Advanced Mission Critical / EUS Long-Life	RHSA-2026:94623	2026-11-03 등록
RHEL 8.6 Advanced Mission Critical / EUS Long-Life	RHSA-2026:94996	2026-11-04 등록

위 목록은 확인된 권고의 예시이며 전체 RHEL 변형·마이너 릴리스 목록이 아닙니다. 정확한 수정 커널 NEVRA는 사용 중인 RHEL 마이너 버전, EUS 여부 및 활성 저장소에 따라 해당 RHSA에서 확인해야 합니다.

시스템에서 확인할 명령:

uname -r
rpm -q kernel
sudo dnf updateinfo info --cve CVE-2026-98432

3.2 Amazon Linux

AWS 보안 공지에서 Amazon Linux 2 및 Amazon Linux 2023의 여러 커널 패키지 계열에 대한 수정 권고가 확인됩니다.

제품/커널 계열	보안 권고
Amazon Linux 2 Core	ALAS2-2026-4065
Amazon Linux 2 Kernel 5.10 Extra	ALAS2KERNEL-5.10-2026-137
Amazon Linux 2 Kernel 5.15 Extra	ALAS2KERNEL-5.15-2026-120
Amazon Linux 2 Kernel 5.4 Extra	ALAS2KERNEL-5.4-2026-135
Amazon Linux 2023 기본 커널	ALAS2023-2026-3365
Amazon Linux 2023 Kernel 6.12	ALAS2023-2026-3335
Amazon Linux 2023 Kernel 6.18	ALAS2023-2026-3251

AWS 공지는 4.14, 5.4, 5.10, 5.15, 6.1, 6.12, 6.18 커널 계열에 대한 수정 패키지를 안내하고 업데이트 후 재부팅하도록 권고합니다. Amazon Linux 2023에서 릴리스 버전을 고정해 사용하는 경우에는 공지에 명시된 수정 릴리스(예: `2023.12.20261102`) 이상인지 확인해야 합니다.

# Amazon Linux 2
sudo yum update kernel
sudo reboot

# Amazon Linux 2023 기본 커널
sudo dnf update kernel --releasever=latest
sudo reboot

# Amazon Linux 2023 Kernel 6.12
sudo dnf update kernel6.12 --releasever=latest
sudo reboot

# Amazon Linux 2023 Kernel 6.18
sudo dnf update kernel6.18 --releasever=latest
sudo reboot

3.3 Fedora Linux

Linux kernel CVE 팀의 공식 기록에서 CVE-2026-98432는 7.2 계열의 `7.2.10`부터 수정된 것으로 명시되어 있습니다. Fedora는 해당 기준보다 높은 7.2.14 기반 커널을 제공하므로, 아래 최신 패키지에는 upstream 수정이 포함됩니다.

Fedora 릴리스	제공 커널	판정
Fedora 43	`kernel-7.2.14-100.fc43`	7.2.10 이상으로 수정 포함
Fedora 44	`kernel-7.2.14-200.fc44`	7.2.10 이상으로 수정 포함
Fedora 45	`kernel-7.2.14-300.fc45`	7.2.10 이상으로 수정 포함

서버에 이전 커널이 설치되어 있거나 이전 커널로 부팅된 상태일 수 있으므로, 최신 커널로 업데이트한 뒤 반드시 재부팅해야 합니다. 재부팅 후 `uname -r` 결과가 7.2.10 이상인지 확인합니다.

sudo dnf update --refresh 'kernel*'
sudo reboot

# 재부팅 후 확인
uname -r
rpm -q kernel-core

Fedora는 CVE별 Bodhi 공지가 항상 별도로 게시되지 않을 수 있으므로, 실제 설치 및 부팅 커널 버전을 기준으로 확인합니다. 참고: CVE 공식 레코드, Fedora kernel 패키지 현황

3.4 Debian

Debian Security Tracker 기준으로 Debian 12(Bookworm), Debian 13(Trixie), testing/unstable 계열에서 수정 패키지 버전이 확인됩니다.

Debian 계열	소스 패키지/수정 기준	공지
Debian 12 Bookworm	`linux 6.1.190-1` 이상	DLA-4841-1
Debian 12 Bookworm (6.12 커널 계열)	`linux-6.12 6.12.113-1~deb12u1` 이상	DLA-4850-1
Debian 13 Trixie	`linux 6.12.113-1` 이상	현재 tracker 패키지 버전은 이후 릴리스일 수 있음
Debian forky / sid	`7.2.10-1` 이상 계열	저장소별 최신 버전 확인

Debian은 보안 수정이 배포판 패키지에 백포트될 수 있으므로 Debian Security Tracker의 해당 릴리스 상태와 실제 설치 패키지 버전을 함께 확인해야 합니다.

uname -r
dpkg -l 'linux-image*' | grep '^ii'
apt-cache policy linux-image-$(uname -r)

3.5 Ubuntu

Canonical의 2026년 11월 2일 공지는 Ubuntu 22.04, 24.04, 26.04의 수정 패키지가 당시 `-proposed` pocket에 제공된다고 안내했습니다. 26.10은 수정 패키지가 배포된 상태로 안내됐습니다.

Ubuntu 릴리스	수정 커널 패키지 기준	2026-11-02 공지의 상태
22.04 Jammy	`5.15.0-203.213`	-proposed에서 수정 패키지 제공
24.04 Noble	`6.8.0-149.149`	-proposed에서 수정 패키지 제공
26.04 Resolute	`7.0.0-43.43`	-proposed에서 수정 패키지 제공
26.10 Stonking	`7.3.0-10.10`	수정 패키지 배포
16.04 Xenial / 18.04 Bionic / 20.04 Focal	해당 공지 시점에 수정 대기	ESM 등 지원 상태 확인 필요
14.04 Trusty	영향 없음으로 안내	Canonical 공지 기준

상태 시점에 유의해야 합니다. Canonical의 11월 2일 공지는 22.04/24.04/26.04 패키지를 -proposed로 안내했습니다. 11월 7일 기준 별도 배포 추적 자료에서는 일부가 일반 updates pocket으로 이동한 것으로 나타나지만, 실제 운영 환경에서는 사용 중인 pocket과 아키텍처별 패키지 게시 여부를 APT 저장소 및 Ubuntu CVE Tracker에서 재확인해야 합니다.

Ubuntu는 HWE 커널, OEM 커널, cloud 커널 등 커널 flavor에 따라 패키지명이 달라질 수 있습니다. 단순히 위 버전 문자열만 비교하지 말고 해당 시스템의 flavor에 맞는 수정 패키지를 확인해야 합니다.

uname -r
dpkg -l 'linux-image*' | grep '^ii'
apt-cache policy linux-image-generic

4. 임시 완화 조치

Red Hat은 수정 패키지를 즉시 적용할 수 없는 상황에서 IPv4 TCP IP options가 포함된 패킷을 필터링하는 nftables 규칙을 임시 완화책으로 제시합니다.

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

규칙 검사 및 적용:

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft

패치 적용 후 임시 규칙 제거:

sudo nft delete table inet cve_2026_98432

이 규칙은 IP options가 포함된 TCP 패킷을 차단하므로 정상적인 IP-option 트래픽에 영향을 줄 수 있습니다. 또한 영구적인 해결책이 아니며, 운영 정책과 네트워크 영향 검토 후 적용해야 합니다. MPTCP 비활성화만으로 완전한 완화가 되지는 않습니다.

5. 운영 환경 조치 절차 및 검증

대상 식별: OS 릴리스, 커널 flavor, EUS/ESM 여부, 활성 저장소 및 현재 실행 중인 커널을 확인합니다.
공식 권고 확인: CVE-2026-98432에 해당하는 배포판 보안 권고와 수정 패키지 릴리스를 확인합니다.
패키지 업데이트: 운영 환경의 표준 변경 절차에 따라 수정 커널을 설치합니다.
재부팅: 새 커널을 실제로 로드하기 위해 재부팅합니다.
사후 검증: `uname -r`로 실행 중인 커널을 확인하고, 배포판 보안 추적 도구로 취약점 상태를 재확인합니다.

공통 확인 명령:

uname -r

RHEL / Amazon Linux:

rpm -q kernel
sudo dnf updateinfo info --cve CVE-2026-98432

Debian / Ubuntu:

dpkg -l 'linux-image*' | grep '^ii'
apt-cache policy linux-image-generic

커널 패키지를 설치했더라도 재부팅 전까지는 기존 커널이 실행 중일 수 있습니다. 설치된 패키지 목록과 `uname -r` 결과를 구분해서 확인해야 합니다.

6. 공식 참고 자료

KISA 보안공지: Linux Kernel Expired Pointer Dereference 취약점 보안 업데이트 권고
Red Hat CVE 상세: CVE-2026-98432
Red Hat 보안 권고 및 완화: RHSB-2026-016
Amazon Linux 보안 추적: Amazon Linux ALAS - CVE-2026-98432
AWS 보안 공지: AWS Security Bulletin 2026-160
Debian Security Tracker: CVE-2026-98432
Ubuntu Canonical 공지: Fixes available in proposed pocket for CVE-2026-98432
Fedora Bodhi: Fedora Updates

7. 결론

CVE-2026-98432는 IPv4 TCP 처리 과정에서 발생하는 커널 메모리 수명 관리 취약점으로, 원격 네트워크 입력을 통해 커널 장애를 유발할 수 있는 중대한 취약점입니다. RHEL, Amazon Linux, Debian 및 Ubuntu에서는 배포판별 보안 권고와 수정 패키지가 확인되지만, 제품 마이너 버전과 지원 스트림에 따라 적용 패키지가 다릅니다. Fedora는 이 기준일에 정확한 수정 빌드 확인이 필요합니다.

운영 환경에서는 upstream 커널 버전만으로 패치 여부를 판단하지 말고, 각 배포판의 CVE 추적 페이지와 보안 권고에서 해당 제품·커널 flavor의 수정 패키지를 확인한 뒤 업데이트 및 재부팅을 완료하는 것이 안전합니다.

감사합니다.

오픈소스를 응원합니다 Blog https://hoing.io
Senior Database Administrator(MySQL, Oracle)

사이트 이용 문의 사항은 댓글이나 admin@fedoralinux.or.kr 로 메일주세요

답변은 로그인 후 가능합니다.