리눅스에서 루트 액세스 권한 획득 가능한 넷필터 방화벽 모듈의 새로운 취약점

리눅스 커널에서 새로 공개된 보안 결함은 로컬 공격자가 취약한 시스템에서 상승된 권한을 얻어 임의 코드를 실행하거나 컨테이너를 탈출하거나 커널 패닉을 유발하는 데 악용될 수 있다.

CVE-2022-25636(CVSS 점수: 7.8)으로 추적되는 이 취약점은 리눅스 커널 버전 5.4 ~ 5.6.10에 영향을 미치며 커널의 netfilter 하위 구성 요소에서 힙 범위를 벗어난 쓰기가 가능해서 발생한다.

레드햇은 2022년 2월 22일 발행된 권고에서 "이 결함으로 인해 시스템에 사용자 계정이 있는 로컬 공격자가 범위를 벗어난 메모리에 액세스할 수 있어 시스템 충돌이나 권한 상승 위협이 발생할 수 있다"고 밝혔다. 비슷한 경고가 Debian, Oracle Linux, SUSE 및 Ubuntu에서 릴리스되었다.

Netfilter는 패킷 필터링, 네트워크 주소 변환 및 포트 변환을 포함하여 다양한 네트워킹 관련 작업을 가능하게 하는 리눅스 커널에서 제공하는 프레임워크이다.

CVE-2022-25636는 프레임워크의 하드웨어 오프로드 기능을 잘못 처리하여 발생하는 취약점으로 로컬 공격자가 DoS(서비스 거부)를 일으키거나 임의 코드를 실행하도록 무기화할 수 있다.

보안전문가는 "하드웨어 오프로드를 처리하는 코드에 있음에도 불구하고 규칙 생성이 실패하기 전에 버그가 트리거되므로 오프로드 기능(예: lo)이 없는 네트워크 장치를 대상으로 할 때 도달할 수 있다."며 "또한 nftables에는 CAP_NET_ADMIN이 필요하지만 새 네트워크 네임스페이스로 공유 해제하여 (일반적으로) 권한이 없는 사용자로 이것을 얻을 수 있다."고 전했다.

그레고리는 "범위를 벗어난 값 중 하나가 편리하게 net_device 구조체에 대한 포인터이기 때문에 커널 [return-oriented programming]/로컬 권한 상승으로 큰 어려움 없이 전환할 수 있다."라고 덧붙였다.

[G-PRIVACY 2022 개최-보안교육7시간 이수]

◇행사명: 2022 공·공 금·융 기업 개인정보보호&정보보안 컨퍼런스(G-PRIVACY 2022 )

◇대상: 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 개인정보보호/정보보안 실무자(※학생, 프리랜서 그리고 현업 보안실무자가 아닌 분들은 참석대상이 아님을 미리 공지합니다.)

◇일시: 2022년 3월 29일 화요일 오전9시~오후5시

◇장소: 더케이호텔서울 2층 가야금홀

◇참가비: 무료

◇점심식사: 제공하지 않습니다.

◇주차: 1일 무료 주차권 지급

◇발표자료: 등록사이트에서 다운로드(3월 28일 오후 4시부터)

◇7시간 교육이수: 공무원·일반기업 보안교육 7시간(CPPG, CISSP 등 자격증도 7시간 인정)※참석 후 설문을 제출해 주신 분에 한해 이수증을 보내드립니다.

◇등록마감: 2022년 3월 28일 오후 5시까지