- CopyFail 취약점은 암호화 하위 시스템의 논리적 오류를 통해 권한이 없는 사용자가 루트 권한으로 상승할 수 있도록 합니다.
- 취약점 CVE-2026-31431은 2017년부터 2026년까지 출시된 광범위한 커널에 영향을 미쳤습니다.
- HFS 파일 시스템에는 시스템 전체 충돌이나 코드 실행을 유발할 수 있는 추가적인 위험이 존재합니다.
리눅스를 떠올릴 때 가장 먼저 생각나는 것은 견고하고 매우 뛰어난 복원력을 지닌 시스템이라는 점입니다 . 실제로 리눅스는 인터넷 인프라의 핵심이며 세계에서 가장 강력한 서버들의 기반이 되고 있지만, 그렇다고 해서 난공불락의 요새라는 의미는 아닙니다. 최근 발견된 취약점들은 아무리 철저하게 검토된 소프트웨어라도 위험한 약점을 가질 수 있음을 상기시켜 주며, 시스템 보호를 위해 리눅스에서도 고급 보안 조치를 모색해야 할 필요성을 일깨워줍니다.
가장 주목할 만한 사례 중 하나는 이른바 CopyFail 취약점입니다. 이는 단순한 애플리케이션의 오타 문제가 아니라 커널의 핵심부에 존재하는 문제 입니다. 이 취약점은 접근 권한이 매우 제한적인 사용자라도 시스템 제어권을 사실상 장악하고 컴퓨터를 완전히 제어할 수 있도록 허용하기 때문에 매우 우려스럽습니다.
CopyFail의 수수께끼: CVE-2026-31431
이 취약점은 기술적으로 CVE-2026-31431로 식별되며, 순차 흐름 논리 결함 으로 알려져 있습니다 . 기술 용어에 익숙하지 않은 분들을 위해 설명하자면, 이는 임의의 메모리 오류나 타이밍 오류에 의존하는 것이 아니라 코드 작성 방식의 결함에 기인한다는 의미입니다. 문제는 특히 커널 의 `authencesn` 구성 요소에 있으며 , 이는 AF_ALG 암호화 소켓 인터페이스와 `splice()` 시스템 함수를 통해 접근할 수 있습니다.
전문가들을 경악하게 하는 것은 이 취약점이 2017년부터 2026년까지 조용히 숨어 있었다는 사실입니다. 거의 10년 동안 정기적인 보안 감사에서 이 취약점이 발견되지 않아 수백만 대의 기기에 그대로 남아 있었습니다. Theori 연구진이 개발한 익스플로잇은 놀랍도록 간단합니다. 단 732바이트 크기의 파이썬 스크립트로, 표준 라이브러리만 사용하기 때문에 사용이 매우 간편하면서도 극도로 위험합니다.
공격자가 경쟁 조건(race condition)을 이용하거나 정확한 커널 오프셋을 알아야 하는 등 엄청난 운이 요구되는 다른 익스플로잇과는 달리, CopyFail은 안정적으로 악용될 수 있습니다 . 즉, 일반 계정, 손상된 컨테이너, 또는 CI/CD 프로세스 등 어떤 경로를 통해서든 모든 로컬 사용자가 커널 페이지 캐시에 4바이트를 쓰는 작업을 실행하여 리눅스에서 루트 권한으로 손쉽게 상승할 수 있다는 뜻입니다.
영향을 받는 시스템 및 문제 범위
이번 취약점은 시스템 전반에 걸쳐 광범위한 영향을 미칠 것으로 예상됩니다. 영향을 받는 시스템은 매우 많은 인기 배포판에서 확인되었습니다. 여기에는 Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1, SUSE 16 등 이 포함되며, Debian, Fedora, Arch, Rocky, Oracle Linux까지 범위가 확장되었습니다. 기본적으로 2017년부터 2026년 4월 사이에 컴파일된 커널을 사용하는 모든 시스템 (버전 4.14~6.18.22) 이 위험에 처해 있습니다.
이 공격 경로는 로컬 공격이라는 점을 강조하는 것이 중요합니다. 즉, 공격자는 이미 시스템에 대한 접근 권한을 확보한 상태여야 합니다. 하지만 여러 테넌트나 컨테이너가 동일한 커널을 공유하는 클라우드 환경에서는 위험이 크게 증가합니다. 이 취약점이 악용되기 쉬운 만큼, 모든 시스템 관리자에게 최우선 과제로 남아 있습니다.
기타 위협: HFS 파일 시스템 사례
하지만 CopyFail 문제만은 아닙니다. 리눅스 커널의 HFS 파일 시스템에서 발견된 취약점인 CVE-2025-0927 에 대한 경고도 제기되었습니다. 이 취약점은 시스템이 손상된 구조를 처리할 때 입력값에 대한 유효성 검사가 불충분한 것이 문제입니다 . 공격자가 시스템이 손상된 HFS 이미지를 읽도록 강제할 경우 메모리 덮어쓰기가 발생할 수 있습니다.
이 두 번째 취약점의 결과는 시스템을 응답하지 않게 만드는 단순한 서비스 거부(DoS) 공격 부터 관리자 권한으로 임의 코드를 실행하는 것과 같은 훨씬 더 심각한 문제에 이르기까지 다양합니다. 이 문제는 특히 커널 버전 6.12.0 이하와 커널 6.5.0-18-generic이 포함된 Ubuntu 22.04 와 같은 특정 설치 환경에 영향을 미칩니다.
어떻게 자신을 보호하고 위험을 줄일 수 있을까요?
언제나 그렇듯이 궁극적인 해결책은 소프트웨어를 최신 상태로 유지하는 것입니다. CopyFail의 경우, 수정 커밋 a664bf3d603d를 적용 하거나 배포판에서 제공하는 패치 버전으로 커널을 업데이트하는 것이 중요합니다. AWS, Azure, GCP와 같은 클라우드 환경에서는 특히 점프 서버 및 멀티테넌트 환경 에서 공급자가 패치를 배포하는 즉시 설치하는 것을 우선시해야 합니다.
어떤 이유로든 시스템을 즉시 재시작할 수 없는 경우, 다음과 같은 방법이 있습니다. 취약점을 완화하는 비법algif_aead 모듈을 비활성화하려면 다음 위치에 파일을 생성하면 됩니다. /etc/modprobe.d/blacklist-algif.conf 라인 install algif_aead /bin/false모듈이 이미 활성화된 경우, 간단히 실행하기만 하면 됩니다. rmmod algif_aead 싸움을 중단시키고 재시작할 필요 없이 공격자를 문 밖으로 내쫓는 것입니다.
CopyFail의 발견은 인공지능의 역할을 다시 한번 부각시켰습니다. 인공지능 기반 분석 도구가 인간이 9년 동안 간과했던 이 취약점을 발견하는 데 결정적인 역할을 했다는 사실은 잘 알려져 있습니다. 이는 우리에게 씁쓸한 교훈을 줍니다. 인공지능은 방어자에게는 놀라운 아군이지만, 공격자에게는 유사한 취약점을 순식간에 찾아내는 완벽한 무기가 될 수도 있다는 것입니다.
