구글 프로젝트 제로, CentOS Linux Kernel 결함 공개
Google 프로젝트 제로는 90일 기한 내에 적시에 수정 사항을 공개하지 못한 CentOS Linux Kernel 결함을 공개합니다.
Google 프로젝트 제로는 Google 제품뿐만 아니라 다른 공급업체에서 만든 소프트웨어의 보안 취약점을 파악하는 보안 팀입니다. 문제가 발견되면 해당 공급업체에 비공개로 보고되며, 공급업체는 90일 이내에 문제를 수정한 후 문제를 공개합니다.
솔루션이 얼마나 복잡한지에 따라 경우에 따라 14일의 유예 기간이 제공될 수도 있습니다.
CentOS Kernel 취약점 발견
이 기술 문서에 설명된 대로, 구글 프로젝트 제로의 보안 연구원 Jann Horn은 Kernel의 안정 트리에 적용된 수정 사항이 수많은 엔터프라이즈 버전의 Linux에 백포트되지 않았다는 사실을 발견했습니다.
이를 확인하기 위해 Horn은 CentOS 스트림 9 Kernel과 안정적인 Linux 5.15.y 트리를 비교했습니다. 잘 모르시는 분들을 위해 설명하자면, CentOS는 Red Hat 엔터프라이즈 Linux (RHEL)와 가장 밀접한 관련이 있는 Linux 배포판으로, 해당 버전은 Linux 5.14 릴리스를 기반으로 합니다.
예상대로, 다양한 Kernel 변경 사항이 이전 버전이지만 여전히 지원되는 CentOS Stream/RHEL 버전에서 구현되지 않은 것으로 밝혀졌습니다. 혼은 프로젝트 제로가 이 경우 90일이라는 기한을 정해 수정 사항을 공개했다고 덧붙였습니다. 그러나 앞으로는 누락된 백포트에 대해 더 엄격한 기한이 부과될 수 있습니다.
Horn이 보고한 세 가지 버그는 모두 Red Hat의 승인을 받아 CVE 번호가 부여되었습니다. 그럼에도 불구하고 회사는 90일 이내에 이러한 문제를 해결하지 않았기 때문에 Google 제품 제로에서 이러한 취약점을 공개합니다.
취약점 세부 정보
Linux Kernel 내의 net/sched/sch_api.c에 있는 qdisc_graft에서 경쟁 조건 문제로 인한 사용 후 무료 취약점이 발견되었습니다. 이 취약점으로 인해 서비스 거부 문제가 발생합니다.
Linux Kernel의 Ext4 파일 시스템에서 사용 후 무료 취약점이 발견되었습니다. 이 결함으로 인해 로컬 사용자가 시스템 충돌을 일으키거나 잠재적으로 권한을 상승시킬 수 있습니다. 이 취약점은 Ext4 파일 시스템이 마운트된 경우에만 트리거될 수 있습니다.
Linux Kernel의 핵심 덤프 하위 시스템에는 시스템 충돌을 일으킬 수 있는 사용 후 무료 취약점이 포함되어 있습니다. 이 결함은 공격자가 실행하기 어렵기 때문에 심각도는 낮은 것으로 간주됩니다. 공격자가 이 결함을 악용하려면 취약한 코드를 두 번 실행해야 하기 때문입니다.
CentOS는 Red Hat 엔터프라이즈 Linux(RHEL)와 같은 상용 운영 체제를 대체할 수 있는 안정적이고 안전한 무료 대안을 제공하는 것을 목표로 합니다. 다양한 기업 및 정부 기관을 포함하여 전 세계 조직과 개인이 널리 사용하고 있습니다.
따라서 CentOS Kernel에서 취약점이 발견된 것은 우려할 만한 일입니다. Linux Kernel의 취약점에 대한 세부 정보가 공개되었으므로 Red Hat이 이러한 보안 문제를 최대한 빨리 패치해야 한다는 압박을 받을지 여부는 아직 지켜봐야 합니다.
CentOS Kernel 패치
CentOS 커뮤니티는 취약점을 해결하고 추가 악용을 방지하기 위해 긴급히 행동해야 합니다. 여기에는 취약점에 대한 패치를 최대한 빨리 릴리스하고 향후 패치 프로세스의 속도와 효율성을 향상시킬 수 있는 조치를 채택하는 것이 포함됩니다.
Kernel 패치를 위한 최고의 방법 중 하나는 2023년 사이버 보안 우수상 보안 자동화 부문에서 금상을 수상한 TuxCare의 KernelCare Enterprise입니다. KernelCare Enterprise는 Kernel을 재부팅할 필요 없이 모든 인기 있는 Linux 배포판의 최신 CVE 패치를 자동으로 제공합니다. 따라서 취약성 패치를 적용하기 위해 시스템을 다시 시작하거나 예정된 유지 보수 기간을 기다릴 필요가 없습니다.
KernelCare가 취약성 패치를 배포하는 방법을 알아보려면 실시간 패치 프로세스를 확인하세요.
결론
CentOS Linux Kernel의 취약점 발견은 오픈 소스 커뮤니티에 경종을 울리는 역할을 합니다. 이는 취약점을 신속하고 효율적으로 식별하고 해결하기 위한 협력적이고 집중적인 접근 방식의 중요성을 강조합니다. 또한, 다른 오픈소스 프로젝트도 이번 사건에서 교훈을 얻어 취약점을 해결하고 적시에 수정 사항을 제공하기 위한 강력한 절차를 수립하는 것이 중요합니다.
이 글의 출처에는 네오윈의 기사가 포함되어 있습니다.