CVE-2026-98432 - Linux 커널 IPv4 TCP Use-After-Free 취약점 스캐너

Linux 커널의 IPv4 TCP 네트워크 스택에 영향을 미치는 치명적인 원격 코드 실행(RCE) 및 커널 서비스 거부 취약점인 CVE-2026-98432에 대해 원격 Linux 호스트를 평가하도록 설계된 Windows 및 Windows Server 네트워크 감사 도구입니다.

취약점 개요

지표	세부 정보
CVE ID	CVE-2026-98432
취약점 유형	Use-After-Free (UAF) / 경쟁 조건 (CWE-416)
CVSS v3.1 점수	9.8 (치명적) — `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
영향받는 구성 요소	Linux 커널 IPv4 네트워킹 (`net/ipv4/tcp_ipv4.c`, `net/ipv4/af_inet.c`)
영향받는 버전	Linux 커널 버전 4.4 이상 (패치된 릴리스 이전)
악용 벡터	IP 옵션이 포함된 조작된 IPv4 TCP SYN 패킷을 전송하는 원격 비인증 네트워크 공격자
영향	커널 공간에서의 원격 코드 실행(RCE), 시스템 충돌 (커널 패닉 / DoS), 메모리 손상

기술적 근본 원인

수신 IPv4 TCP 3-way 핸드셰이크(SYN 패킷) 중에:

TCP 연결 요청에 IPv4 옵션(inet_opt 및 ireq_opt)이 포함된 경우, Linux 커널은 SYN-ACK 응답에 이를 에코백하기 위해 대기 중인 연결 요청 구조체에 이러한 옵션의 복사본을 저장합니다.
핸드셰이크가 완료되면, 옵션 구조체의 소유권은 복제되지 않은 채 새로 생성된 자식 소켓으로 이전됩니다.
취약한 커널에서는 소멸자(inet_sock_destruct() 및 tcp_v4_reqsk_destructor())가 동기식 kfree()를 사용하여 이러한 옵션을 즉시 해제했습니다.
경쟁 조건(SYN 재전송 또는 CPU 코어 간 요청 소켓 마이그레이션 등) 하에서 다른 CPU 코어가 해제 중인 옵션 구조체를 읽을 수 있으며, 이로 인해 Use-After-Free (UAF) 상태가 발생합니다.

이 코드는 수신 트래픽이 사용자 공간 애플리케이션에 도달하기 전에 커널 TCP 스택 내부에서 실행되므로, 서버에서 수신 대기 중인 모든 IPv4 TCP 포트는 커널을 잠재적인 원격 악용에 노출시킵니다.

패치된 커널 버전

1. 업스트림 안정 릴리스

이 취약점은 Eric Dumazet에 의해 업스트림에서 해결되었습니다 (커밋 e3f33b0a1d89: "ipv4: free inet_opt and ireq_opt after an RCU grace period"). 최소 패치 버전:

5.10 브랜치: 5.10.272 이상
5.15 브랜치: 5.15.223 이상
6.1 브랜치: 6.1.190 이상
6.6 브랜치: 6.6.159 이상
6.12 브랜치: 6.12.113 이상
6.18 브랜치: 6.18.56 이상
7.2 브랜치: 7.2.10 이상
7.3 브랜치: 7.3.0 이상

2. 주요 Linux 배포판

Ubuntu 24.04 LTS: linux 패키지 버전 6.8.0-149.149 이상에서 수정됨
Ubuntu 22.04 LTS: linux 패키지 버전 5.15.0-203.213 이상에서 수정됨
Ubuntu 26.04 LTS: linux 패키지 버전 7.0.0-43.43 이상에서 수정됨
Ubuntu 26.10: linux 패키지 버전 7.3.0-10.10 이상에서 수정됨
RHEL 8 / 9 / 10 & AlmaLinux / Rocky Linux: 벤더 보안 권고(RHSA / ALSA)를 통해 수정됨

도구 아키텍처 및 기능

이 스캐너는 모든 Windows 워크스테이션 또는 서버에서 비파괴적이고 안전한 검증을 제공합니다:

1단계: 네트워크 연결성 확인 (ICMP Ping): 호스트 가용성과 네트워크 라우팅을 확인합니다.
2단계: 고속 TCP 포트 노출 감사: 비차단 비동기 .NET 소켓을 사용하여 표준 노출 TCP 포트(SSH 22, HTTP 80, HTTPS 443, Alt HTTP 8080/8443, MySQL 3306, PostgreSQL 5432, Redis 6379)를 테스트합니다. 열려 있는 IPv4 TCP 포트가 있으면 커널 TCP 스택이 패킷을 활발히 수신하고 처리하고 있음을 나타냅니다.
3단계: 원격 SSH 커널 버전 및 패치 감사: 네이티브 Windows OpenSSH(ssh.exe)를 통해 연결하여 방해가 되는 익스플로잇 페이로드를 실행하지 않고 uname -r, /etc/os-release, 활성 방화벽 완화 조치를 안전하게 조회합니다.
판정 및 평가 엔진:
- VULNERABLE: 호스트가 수정 사항 없이 영향을 받는 커널 버전을 실행 중입니다.
- SECURE / PATCHED: 호스트가 패치된 커널 릴리스를 실행 중입니다.
- MANUAL VERIFICATION: 사용자 지정 또는 공급업체별 백포트는 수동 검토가 필요합니다.

사용 방법

옵션 1: 대화형 실행 (권장)

check_cve_2026_98432.bat을 두 번 클릭하거나 CMD에서 실행하십시오:

.\check_cve_2026_98432.bat

다음과 같은 프롬프트가 표시됩니다:

대상 Linux 서버 IP 주소를 입력합니다(예: 192.168.1.100).
포트 노출 평가를 확인합니다.
선택적으로 SSH를 통해 인증하여 정확한 커널 빌드를 검증합니다.

옵션 2: PowerShell 명령줄

전체 네트워크 + SSH 감사:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshUser "admin"

사용자 지정 SSH 포트:

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SshPort 2222 -SshUser "ubuntu"

네트워크 포트 노출만 (SSH 인증 건너뛰기):

powershell -ExecutionPolicy Bypass -File .\check_cve_2026_98432.ps1 -ServerIp "192.168.1.100" -SkipSsh

해결 및 완화 가이드

1. 영구 해결 (커널 업그레이드)

배포판 저장소에서 공식 보안 업데이트를 적용하고 서버를 재부팅하십시오:

Ubuntu / Debian:

sudo apt update
sudo apt --only-upgrade install linux-image-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux / CentOS:
```
sudo dnf update kernel
sudo reboot
```
Arch Linux:
```
sudo pacman -Syu linux
sudo reboot
```
현재 실행 중인 커널 확인:
```
uname -r
```

2. 임시 방화벽 완화 조치 (즉시 재부팅이 불가능한 경우)

이 취약점은 IPv4 옵션을 포함한 TCP 패킷을 필요로 합니다. 즉시 재부팅할 수 없는 경우 iptables를 사용하여 IPv4 옵션을 포함한 모든 수신 TCP 패킷을 차단하십시오:

# Insert rule at top of INPUT chain
sudo iptables -I INPUT 1 -p tcp -m ipv4options --any-opt -j DROP

# Persist the rule (Debian/Ubuntu)
sudo iptables-save | sudo tee /etc/iptables/rules.v4

# Persist the rule (RHEL/CentOS)
sudo service iptables save

(참고: 일반적인 인터넷 TCP 트래픽은 IPv4 옵션을 거의 사용하지 않으므로, 이를 삭제해도 일반적인 웹, SSH 또는 데이터베이스 워크로드에는 보통 지장이 없습니다).

CVE-2026-98432-scan

인기