🚨 CVE-2026-46331 - 리눅스 커널 COW 버그

리눅스 커널 net/sched 부분적 Copy-on-Write (COW) 페이지 캐시 손상

리눅스 커널 취약점으로, 트래픽 제어(tc) 패킷 편집 서브시스템의 잘못된 Copy-on-Write(COW) 처리로 인해 발생합니다.

📖 개요

CVE-2026-46331은 리눅스 커널의 net/sched 패킷 편집(act_pedit) 서브시스템에 영향을 미치는 취약점입니다.

이 취약점은 커널이 실제 패킷 편집 오프셋이 알려지기 전에 쓰기 가능한 Copy-on-Write(COW) 범위를 계산하기 때문에 발생합니다. 런타임 헤더 오프셋이 적용될 때 메모리의 일부가 복사되지 않고 쓰기 가능한 상태로 남아 페이지 캐시 손상을 초래합니다.

특정 조건에서 이 손상은 로컬 권한 상승(LPE) 또는 커널 불안정을 위한 강력한 프리미티브가 될 수 있습니다. :contentReference[oaicite:0]{index=0}

🔍 기술적 세부사항

취약한 구성 요소

Linux Kernel
└── net/
    └── sched/
        └── act_pedit.c

영향을 받는 함수:

tcf_pedit_act()

문제:

skb_ensure_writable()
        │
        ▼
쓰기 가능한 범위를 한 번만 계산함
        │
        ▼
런타임 헤더 오프셋이 나중에 변경됨
        │
        ▼
COW 영역 밖의 메모리가 수정됨
        │
        ▼
페이지 캐시 손상

💥 근본 원인

취약한 구현:

• 쓰기 가능한 영역을 한 번만 계산함.
• tcfp_off_max_hint를 사용함.
• 타입 기반 패킷 편집 키에 의해 도입된 런타임 오프셋을 고려하지 않음.
• 복사된 영역을 벗어나 쓰기를 수행함.

이는 캐시된 커널 페이지를 손상시킬 수 있는 부분적 Copy-on-Write 조건을 만듭니다. :contentReference[oaicite:1]{index=1}

⚠️ 영향

가능한 결과는 다음과 같습니다:

• 커널 메모리 손상
• 페이지 캐시 손상
• 시스템 충돌
• 정의되지 않은 커널 동작
• 잠재적 로컬 권한 상승(LPE)
• 유리한 조건에서 권한 있는 코드 실행 :contentReference[oaicite:2]{index=2}

🎯 공격 요구 사항

공격자는 일반적으로 다음이 필요합니다:

• 로컬 코드 실행
• Linux 트래픽 제어(tc) 구성 능력
• CAP_NET_ADMIN (직접 또는 권한 없는 사용자 네임스페이스를 통해, 시스템 구성에 따라 다름)

공식 권고에서 원격 공격 벡터는 설명되지 않았습니다. :contentReference[oaicite:3]{index=3}

📸 데모

📦 영향을 받는 구성 요소

트래픽 제어 (tc)

        │

 act_pedit

        │

 tcf_pedit_act()

        │

 skb_ensure_writable()

        │

 부분적 COW

        │

 페이지 캐시 손상

🛠 수정

업스트림 커널 패치:

• skb_ensure_writable()을 키별 처리 루프 내부로 이동.
• 실제 런타임 쓰기 오프셋 사용.
• 정수 오버플로우 검증 추가.
• 음수 오프셋에 대해 skb_cow() 사용.
• 유효하지 않은 오프셋 산술(INT_MIN) 방지. :contentReference[oaicite:4]{index=4}

🛡 완화 조치

• ✅ 패치된 리눅스 커널로 업데이트.
• ✅ CAP_NET_ADMIN 제한.
• ✅ 불필요한 tc 패킷 편집 규칙 비활성화.
• ✅ 운영상 적절한 경우 권한 없는 사용자 네임스페이스 제한.
• ✅ 수정된 커널 설치 후 재부팅. :contentReference[oaicite:5]{index=5}

📊 요약

📚 참고 자료

• NIST 국가 취약점 데이터베이스 :contentReference[oaicite:6]{index=6}
• Red Hat 보안 권고 :contentReference[oaicite:7]{index=7}
• Ubuntu 보안 공지 :contentReference[oaicite:8]{index=8}