리눅스 커널 0-day 취약점, 루트 권한 파일 접근 가능!
by DD
2개월 전
조회수 14
리눅스 커널(Linux Kernel)의 0-day 취약점(0-day vulnerability)을 통해 권한 없는 사용자가 루트 소유 파일에 접근 가능
Qualys에 의해 보고되었으며, 2026년 5월 14일 패치(Patch) 적용 전까지 안정 버전(Stable Version) 포함, 광범위한 영향(Widespread Impact)
`pidfd_getfd(2)` 시스템 콜(System Call)의 취약점을 악용하여, `ssh-keysign` 및 `/etc/shadow` 파일 탈취 가능
임시 해결책으로 특정 파일의 실행 권한 제거가 제시되었으나, 근본적인 해결책(Fundamental Solution)은 커널 패치(Kernel Patch)
커뮤니티에서는 PoC(Proof of Concept)의 작동 여부와 취약점의 심각성(Severity)에 대한 논의가 진행됨
취약점 개요 및 기술적 분석
본 취약점은 `__ptrace_may_access()` 함수 내 `dumpable` 검사 누락으로 인해 발생하며, `task->mm == NULL`인 경우 검사가 생략된다. 특히, `do_exit()` 함수가 `exit_mm()`을 먼저 실행하여 파일 디스크립터(File Descriptor)가 남아있는 상황에서 `pidfd_getfd(2)`를 악용하여 권한 없는 사용자가 루트 소유 파일을 읽을 수 있다. 이는 데이터 격리 아키텍처(Data Isolation Architecture)의 취약점을 드러낸다.
PoC(Proof of Concept) 및 공격 시나리오
PoC는 `sshkeysign_pwn`을 통해 `/etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key` 파일을, `chage_pwn`을 통해 `/etc/shadow` 파일을 탈취한다. `ssh-keysign.c`는 파일(mode 0600)을 열고 `permanently_set_uid()` 전에 실패하며, `chage -l`은 `spw_open(O_RDONLY)`을 호출한 후 `setreuid(ruid, ruid)`를 실행한다. 이러한 일련의 과정은 을 우회하는 공격으로 이어진다.
