2025년에도 줄어들지 않는 Linux 커널 CVE 홍수

이 블로그 글의 AI 요약으로 바로 가기

거의 1년 전, Linux 커널 팀은 커널 취약점을 추적하고 공개하는 방식에 큰 변화를 가져온 CVE 번호 지정 기관(CNA)이 되었습니다. 일시적인 급증과는 거리가 멀었습니다, 새로운 CVE의 홍수 의 홍수는 전례 없는 속도로 2025년까지 계속되고 있습니다.

2025년 첫 16일 동안에만 이미 134개의 새로운 Linux 커널 CVE가 발견되었습니다. 2020년에는 한 해 동안 120건, 2021년에는 162건, 2022년에는 309건, 2023년에는 290건의 CVE가 기록되었다는 역사적 맥락을 고려하면 이 수치를 이해할 수 있습니다. 2024년의 총 3,529건의 CVE를 보면 전년 대비 거의 10배 증가한 수치로 극명한 대비가 더욱 분명해집니다.

이 이야기를 계속하는 이유

왜 이 상황을 계속 강조하는지 궁금해하는 분들도 계실 것입니다. 답은 간단합니다. 단순한 숫자 문제가 아닙니다. 현재 진행 중인 CVE 홍수는 Linux 시스템 보안 및 관리의 거의 모든 측면에 영향을 미치는 광범위한 영향을 미칩니다:

규정 준수 과제: 조직은 각 취약점에 대한 대응을 문서화하고 추적해야 하므로 관리 부담이 막대합니다.
위험 평가의 복잡성: CVE가 너무 많아서 특정 환경에 실제 위험을 초래하는 취약점을 파악하는 것이 점점 더 어려워지고 있습니다.
리소스 부담: 보안팀은 방대한 양의 잠재적 취약성을 분석하고, 우선순위를 정하고, 해결해야 하는 과중한 업무에 시달리고 있습니다.
운영 영향: 기존의 패치 주기 및 유지 관리 기간은 현재의 취약점 공개 속도에 비해 부적절하다는 것이 입증되었습니다.

현재 상태

커널 팀의 (거의) "모든 버그가 CVE를 얻는" 접근 방식은 투명성을 위한 좋은 의도였지만, 보안 팀이 2025년 현재까지 매일 평균 8~9개의 새로운 CVE를 처리해야 하는 상황을 만들었습니다. 커널 관련 취약점에 대해서만요. - 사용자 공간도, 라이브러리도, 다른 어떤 것도 없이 말이죠. 이 속도는 줄어들 기미가 보이지 않고 오히려 2024년 하반기에 비해 더 빨라지고 있는 것으로 보입니다.

엔터프라이즈 Linux 사용자는 시스템 재시작과 유지 관리 기간이 필요한 기존 패치 방법을 통해 이러한 CVE의 폭주를 따라잡거나, 재부팅 없이 패치를 적용하여 증가하는 보안 업데이트 흐름을 관리하는 등의 대안을 찾아야 하는 어려운 선택에 직면해 있습니다.

2025년에 접어들면서 이러한 현상은 일시적인 현상이 아니라 Linux 커널 보안 관리의 새로운 표준이 될 것이라는 것이 분명해지고 있습니다. 조직은 이러한 증가된 볼륨을 효과적으로 처리하기 위해 보안 전략과 툴을 조정해야 합니다. 이는 다음을 의미할 수 있습니다:

보다 정교한 취약점 우선순위 지정 구현
자동화된 패치 솔루션 도입
라이브 패치 기술을 활용하여 운영 중단 없이 보안 유지
정말 중요한 취약점을 식별하기 위한 더 나은 필터링 메커니즘 개발

커널 팀의 CVE 정책이 제공하는 투명성은 소중하지만, 보안 커뮤니티는 이 방대한 양의 취약점 공개를 관리하고 대응하는 더 나은 방법을 개발해야 합니다. 여기에는 조직이 가장 중요한 문제에 먼저 집중할 수 있도록 개선된 분류, 더 나은 심각도 평가 또는 더 정교한 필터링 메커니즘이 포함될 수 있습니다.

보안 툴링 및 자동화에 미치는 영향

CVE의 엄청난 양으로 인해 많은 기존 보안 도구와 취약점 스캐너의 한계가 드러났습니다. 한 달에 수십 개의 새로운 취약점을 처리하도록 설계된 도구는 이제 수백 개의 취약점을 처리하는 데 어려움을 겪고 있습니다. 이로 인해 몇 가지 문제가 발생했습니다:

스캐너 성능: 취약점 스캐너는 평가를 완료하는 데 시간이 오래 걸리며 항상 오래된 데이터를 기반으로 작업하는 경우가 많습니다.
오탐률: 볼륨이 증가함에 따라 수동 확인이 필요한 오탐이 더 많이 발생했습니다.
보고서 생성: 과거에는 간결했던 보안 보고서가 이제는 수백 페이지에 달합니다. 예외가 표준이 되었습니다.
통합 문제: 보안 자동화 도구와 SIEM 시스템은 데이터 흐름의 증가로 인해 어려움을 겪고 있습니다.

엔터프라이즈 배포 과제

엔터프라이즈 Linux 배포는 특히 복잡한 상황에 직면해 있습니다. 반드시 그래야 합니다:

지원되는 버전과의 관련성을 위해 각 CVE를 분석하세요.
필요한 경우 백포트 수정
이러한 수정 사항을 안정 버전과 비교하여 테스트하세요.
업데이트 패키지 및 배포
이러한 변경 사항을 문서화하여 사용자에게 전달

현재의 CVE 볼륨으로 인해 기업 사용자가 기대하는 안정성을 유지하면서 이 프로세스를 유지하기가 점점 더 어려워지고 있습니다.

규정 준수 및 감사 시사점

CVE의 범람은 여러 가지 면에서 규정 준수 및 감사 프로세스를 복잡하게 만들었습니다:

감사 추적: 조직은 각 CVE에 대한 대응을 문서화하여 방대한 감사 추적을 만들어야 합니다.
위험 평가: 정기적인 위험 평가는 시간이 오래 걸리고 더 많은 리소스가 필요합니다.
보고 요건: 규정 준수 보고서의 규모와 복잡성이 크게 증가했습니다.
수정 타임라인: 표준 수정 기간으로는 현재 볼륨에 비해 충분하지 않은 경우가 많습니다.

숨겨진 비용

조직은 명백한 기술적 문제 외에도 몇 가지 중요한 영역에서 비용 증가와 싸우고 있습니다. CVE를 분석하고 처리하는 데 더 많은 시간이 필요하기 때문에 직원 리소스가 늘어나고 있습니다. 보안 스캔 및 패치 테스트에 필요한 추가 컴퓨팅 리소스의 필요성으로 인해 인프라 비용이 상승하고 있습니다. 또한 보안팀이 업무량 증가를 효과적으로 처리하기 위한 추가 교육에 대한 필요성도 커지고 있습니다. 또한 업무량을 효율적으로 관리하기 위해서는 새로운 보안 도구 또는 업그레이드된 보안 도구에 대한 투자가 필수적입니다.

대체 접근 방식

조직은 이러한 새로운 현실에 대처하기 위해 다양한 전략을 채택하고 있습니다:

위험 기반 우선순위 지정: 특정 환경에 가장 큰 위험을 초래하는 취약점에 초점을 맞추며, 모든 CVE에 대한 초기 및 독립적인 위험 분석에도 시간이 오래 걸린다는 점에 유의하세요. 2024년 CVE 중 상당수는 아직 "분석 중"입니다.
재부팅 없는 패치 솔루션: 시스템을 재시작하지 않고도 보안 업데이트를 수행할 수 있는 기술을 구현합니다.
자동화된 분류: CVE를 분류하고 우선순위를 지정하는 자동화된 시스템 개발.
선택적 추적: 특정 커널 구성에 영향을 미치는 CVE만 추적합니다. 이렇게 하면 패치 백포팅 작업에 더 많은 작업량과 복잡성이 추가됩니다.