CVE-2026-23111 감사 도구 (리눅스 커널 nf_tables UAF)

이 저장소는 리눅스 환경에서 CVE-2026-23111 취약점을 심층적이고 정확하게 평가하기 위해 설계된 Bash 기반 자동화 감사 스크립트를 포함합니다.

---

🔍 CVE-2026-23111 취약점이란?

CVE-2026-23111은 리눅스 커널의 nf_tables 서브시스템에서 발견된 Use-After-Free (UAF) 유형의 취약점입니다 (일반적으로 6.13 브랜치 이전의 개발 및 안정 버전에 영향을 미칩니다).

결함은 캡처된 요소 활성화 로직(nft_map_catchall_activate) 내의 잘못된 메모리 관리에 있습니다. 낮은 권한을 가진 로컬 공격자가 이 결함을 악용하여 **로컬 권한 상승(LPE)**을 통해 root를 획득할 수 있습니다.

익스플로잇 벡터 및 요구 사항:

익스플로잇이 시스템에서 성공하려면 일반적으로 세 가지 요소가 동시에 존재해야 합니다:

1. 영향받는 커널: 패치되지 않은 버그를 포함한 커널.
2. 활성화된 User Namespaces: 권한이 없는 사용자가 네임스페이스를 복제(CAP_NET_ADMIN)하여 nf_tables와 직접 상호작용할 수 있습니다.
3. 모듈 활성화: nf_tables 모듈이 로드되어 있거나 운영 체제에서 자동 로드가 가능해야 합니다.

---

🛠️ 고급 스크립트 특징

이 Bash 스크립트는 네 가지 중요 계층을 분석하여 상세한 감사를 수행합니다:

• 환경 식별: 정확한 커널 버전 및 배포판을 추출합니다.
• 네임스페이스 완화 분석: sysctl 매개변수(unprivileged_userns_clone 또는 max_user_namespaces)를 검사하여 일반적인 익스플로잇의 입력 벡터가 차단되었는지 확인합니다.
• 네트워크 모듈 상태: nf_tables가 로드되었는지 또는 modprobe.d의 설정 파일에 블랙리스트 규칙이 있는지 감지합니다.
• 컴파일 검사 (CONFIG_X): 운영 중인 커널의 컴파일 플래그를 찾아 읽고(/proc/config.gz 또는 /boot/config-*를 통해) CONFIG_USER_NS 및 CONFIG_NF_TABLES의 존재를 확인합니다.

---

실행: bash CVE-2026-23111-checker.sh