🚨 CVE-2026-46242 - BadEpoll

Linux Kernel eventpoll 서브시스템에 영향을 미치는 높은 심각도의 Use-After-Free 취약점으로, 로컬 권한 상승, 메모리 손상, 서비스 거부를 초래할 수 있습니다.

---

📖 개요

CVE-2026-46242는 Linux Kernel의 eventpoll (epoll) 구현에서 발생하는 Use-After-Free (UAF) 취약점입니다.

이 문제는 ep_remove() 로직 내부에 존재하며, 경쟁 조건(Race Condition)으로 인해 struct file과 관련 eventpoll 객체가 여전히 참조되고 있는 동안 해제될 수 있습니다.

로컬 접근 권한을 가진 공격자는 이 경쟁 조건을 악용하여 커널 메모리를 손상시킬 수 있으며, 잠재적으로 다음을 초래할 수 있습니다:

• 🔺 로컬 권한 상승
• 💥 커널 메모리 손상
• 🚫 서비스 거부 (커널 패닉)
• ⚠️ 시스템 불안정

📊 취약점 세부 정보

🧠 근본 원인

취약점은 다음 순서로 발생합니다:

1. ep_remove()가 file->f_ep를 초기화(clear)합니다.
2. 다른 스레드가 동시에 __fput()를 실행할 수 있습니다.
3. 연결된 eventpoll 객체가 해제될 수 있습니다.
4. 해제된 메모리를 가리키는 포인터를 사용하여 실행이 계속됩니다.
5. 이후의 쓰기 작업으로 인해 전형적인 Use-After-Free 조건이 발생합니다.

업스트림 수정은 임계 구역에 진입하기 전에 epi_fget()을 사용하여 struct file을 고정(pin)하여, 정리 작업이 수행되는 동안 동시 해제를 방지합니다. :contentReference[oaicite:0]{index=0}

🎯 영향

성공적인 악용을 통해 공격자는 다음을 수행할 수 있습니다:

• 커널 수준으로 권한 상승
• 커널 메모리 손상
• 운영 체제 충돌
• 임의의 커널 동작 유발

취약점은 로컬 전용이지만, 다중 사용자 시스템에서 상당한 보안 위험을 나타냅니다.

📦 영향을 받는 버전

✅ 수정된 버전

• 6.18.33
• 7.0.10
• 7.1-rc1 이상

🔬 기술 요약

ep_remove()
      │
      ▼
file->f_ep 초기화
      │
      ▼
동시 __fput() 실행
      │
      ▼
eventpoll 객체 해제
      │
      ▼
ep_remove() 계속 실행
      │
      ▼
해제된 메모리 역참조
      │
      ▼
Use-After-Free

📸 데모

⚠️ 악용

현재 공개 상태:

🛡️ 완화 조치

• 패치된 Linux 커널로 업그레이드하세요.
• 안정적인 커널 보안 업데이트를 적용하세요.
• 업데이트가 설치될 때까지 로컬 신뢰할 수 없는 사용자 접근을 제한하세요.
• 배포판별 백포트에 대해 공급업체 권고를 모니터링하세요.

🔍 탐지

현재 커널 확인:

uname -r

예시:

6.18.12

설치된 버전을 패치된 릴리스와 비교하세요.

💻 참고 자료

• CVE 레코드
• NVD
• Linux Kernel 안정 Git 저장소

📚 타임라인

⚖️ CVSS v3.1

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

📄 라이선스

이 저장소는 교육, 연구 및 방어적 사이버 보안 목적으로만 제공됩니다.

악용 코드나 공격 도구를 포함하지 않습니다.