기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
algif_aead 모듈 (AF_ALG). 권한이 없는 로컬 사용자라면 누구나 732바이트 크기의 파이썬 익스플로잇을 통해 루트 권한을 획득할 수 있습니다. 2017년 이후 출시된 모든 커널이 이 취약점의 영향을 받습니다.
KernelCare 엔지니어링 팀은 AlmaLinux 9.6-FIPS 및 Oracle UEK7에서 공개된 익스플로잇에 대한 수정 사항의 유효성을 검증한 후, 아래에 나열된 운영 체제 전반에 걸쳐 라이브 패치를 배포했습니다. 고객은 별도의 유지보수 시간을 할당하거나 다음 벤더 에라타를 기다릴 필요가 없습니다. 이 패치는 실행 중인 커널에 적용되며 재부팅 없이도 즉시 효력이 발생합니다.
배경: copy.fail · Xint 관련 문서 · NVD · 업스트림 수정 사항
이 문제가 시급한 이유
이 익스플로잇은 크기가 작고(732바이트), 공개되어 있으며, 안정적으로 작동합니다. 이 익스플로잇은 2017년 업스트림에 도입된 결함을 노리기 때문에, 지원되는 커널을 실행하는 RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, Ubuntu, Debian, Proxmox VE 및 CloudLinux가 모두 영향을 받습니다. 공격 경로는 인증 절차 없이 로컬 권한을 루트 권한으로 상승시키는 순수한 방식입니다.
신뢰할 수 없는 사용자가 코드를 실행할 수 있는 모든 시스템(공유 호스팅, 멀티테넌트 플랫폼, CI 러너, 탈출 위험이 있는 컨테이너 호스트 등)에서는 이를 당일 패치 적용이 필요한 사안으로 간주해야 합니다.
KernelCare 라이브 패치: 지금 바로 이용 가능, 재부팅 불필요
KernelCare 엔지니어링 팀은 전체 수정 세트(단순히 algif_aead (원상복구), AlmaLinux 9.6-FIPS 및 Oracle UEK7에 공개된 익스플로잇을 기준으로 이를 검증하고, 공급업체의 정정 공지가 나오기 전에 지원되는 모든 배포판에 라이브 패치를 배포했습니다. 고객은 다음 kcarectl --update.
다음 운영 체제용 CVE-2026-31431 라이브 패치가 출시되었습니다:
- 알마리눅스 8
- 알마리눅스 9
- cloudlinux7h
- 클라우드리눅스 8
- CentOS 8
- 레드햇 8
- 레드햇 9
- proxmox-ve-7-5.15
- ubuntu-focal-lts-jammy-aws
- ubuntu-focal-lts-jammy
- ubuntu-focal-lts-jammy-azure
- ubuntu-jammy-aws
- ubuntu-jammy-azure
- ubuntu-jammy
- ubuntu-bionic-lts-focal
- ubuntu-bionic-lts-focal-aws
- ubuntu-focal-azure
- ubuntu-focal-aws
- ubuntu-focal
- rockylinux8
- rockylinux9
- 오라클 리눅스 8
- oraclelinux8-uek6
- oraclelinux7-uek6
- 오라클 리눅스 9
- 데비안 11
- 데비안 12
FIPS 커널용 ELS도 다루고 있습니다
TuxCare의 AlmaLinux 9.2 및 9.6용 ‘Endless Lifecycle Support(ELS)’ FIPS 인증 커널에도 해당 패치가 적용되었습니다. ELS-FIPS 고객은 별도의 조치 없이 동일한 KernelCare 피드(각각 릴리스 K20260430_13 및 K20260430_07)를 통해 수정 사항을 받을 수 있습니다.
KernelCare 고객께서 취해야 할 조치
대부분의 경우, 아무 일도 일어나지 않습니다. 만약 kcarectl 자동 업데이트가 활성화되어 있는 경우(기본 설정), 패치는 다음 예약된 폴링 시점에 가져와 적용됩니다. 즉시 적용하려면:
kcarectl --update패치가 적용되었는지 확인하는 방법
라이브 패치가 로드되었는지 확인하세요:
kcarectl --patch-info | grep -i 'CVE-2026-31431\|algif_aead\|copy.fail'일치하는 항목이 있으면 보호가 적용된 것입니다. 다음 명령어로 반환되는 커널 버전 문자열은 uname -r KernelCare를 사용해도 변경되지 않습니다. 실행 중인 커널은 디스크에서 교체되는 것이 아니라 메모리 내에서 패치되기 때문입니다.
임시 대응 조치 (즉시 업데이트할 수 없는 경우)
지금 당장 KernelCare 라이브 패치를 적용할 수 없다면, 해당 항목을 블랙리스트에 등록할 수 있습니다. algif_aead initcall을 통해 grubby. 이를 통해 부팅 시 AEAD AF_ALG 인터페이스가 등록되는 것을 방지하고, 커널을 교체하지 않고도 공격 표면을 축소할 수 있습니다. 재부팅이 필요합니다.
제한 사항을 적용하고 시스템을 재부팅하십시오:
sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot재부팅 후, 해당 매개변수가 활성 커널 명령줄에 포함되어 있는지 확인하십시오:
sudo grubby --info=ALL | grep initcall_blacklist라이브 패치가 적용된 후 원상 복구하려면:
sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot호환성: dm-crypt / LUKS, kTLS, IPsec, SSH 및 기본 OpenSSL / GnuTLS 빌드는 다음을 의존하지 않습니다. AF_ALG 영향을 받지 않습니다. 명시적으로 사용하는 애플리케이션만 AF_ALG AEAD 암호의 경우 (예를 들어, OpenSSL에서 afalg 엔진 활성화 또는 다음을 통한 하드웨어 암호화 오프로드 AF_ALG)에 영향을 미칠 것입니다.
주의: modprobe를 이용한 해결 방법은 작동하지 않습니다
oss-security에 유포되고 있는 완화 조치, 다음을 추가하여 install algif_aead /bin/false ~ 아래의 파일에 /etc/modprobe.d/ 그리고 실행 중 rmmod algif_aead, RHEL 계열 배포판(RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux)이나 대부분의 다른 주요 배포판에서는 작동하지 않습니다.
algif_aead 커널에 내장되어 있습니다 (CONFIG_CRYPTO_USER_API_AEAD=y), 따라서 modprobe.d 규칙은 해당 파일의 로딩을 차단할 수 없으며 rmmod 제거할 수 없습니다. 명령어는 오류 없이 실행되지만 시스템에는 아무런 변화가 없어, 마치 보호받고 있는 것처럼 착각하게 만듭니다.
다음 명령어를 실행하여 모듈이 빌드되었는지 확인할 수 있습니다:
modinfo algif_aead | grep filename
# (builtin)사용 grubby대신 위에서 언급한 -기반 완화 조치를 적용하십시오.
링크
아직 KernelCare를 사용하지 않으시나요?
KernelCare는 재부팅이나 유지보수 시간 없이도 실행 중인 시스템에 커널 CVE에 대한 실시간 패치를 제공합니다. 벤더의 수정 공지가 나오기 전에 CVE-2026-31431을 해결했던 것과 동일한 배포 모델이 앞으로 발생할 모든 고위험 커널 CVE에 적용됩니다.
