다이디 프래그가 카피‑펄을 앞지르며: 리눅스의 두 번째 치명적인 취약점은 한 달 전에도 아직 수정되지 않았습니다

크리티컬 취약점 Dirty Frag: 알아야 할 것들

이 취약점은 어떻게 동작하나요? 얼마나 위험한가요? 2017년 이후 출시된 대부분의 인기 있는 리눅스 배포판(Ubuntu, Arch, RHEL, Fedora 및 Windows 11의 WSL 2)에서 로컬 사용자는 root 권한을 얻을 수 있습니다. 패치 상태: 게시 시점에는 별도의 배포판이나 메인 커널 트리에 패치가 없습니다. 어떻게 나타나나요? 공격은 시스템 구성에 의존하지 않으며 정확한 실행 시간이 필요 없습니다. 작은 프로그램을 실행하면 사용자가 관리자 권한을 얻게 됩니다.

영향받는 플랫폼 - Ubuntu 24/26
- Arch Linux (최신 버전)
- RHEL, CentOS Stream
- Fedora, AlmaLinux, OpenSUSE 및 기타 빌드

방어 방법: 이 취약점은 IPSec 암호화를 담당하는 세 개의 커널 모듈과 관련이 있습니다.
1. esp4 – IPv4‑ESP
2. esp6 – IPv6‑ESP
3. rxrpc – IPsec 위의 RPC 프로토콜

이 구성 요소는 기업 VPN 네트워크에서만 필요합니다. 비활성화하면 일반 워크스테이션과 서버에 거의 영향을 주지 않으면서 취약점을 빠르게 차단할 수 있습니다.

공개 이력 - 4월 30일, 커널 팀은 문제 정보를 받았습니다.
- 제3자가 계약을 위반하고 사전 공개를 하여 Tom’s Hardware가 말하길 공격자들이 취약점을 적극적으로 활용하게 된 것으로 보입니다.

어떻게 동작하나요? Dirty Frag는 Copy Fail과 마찬가지로 커널의 zero‑copy 메커니즘을 이용합니다.
1. 공격자는 splice 시스템 호출에 페이지 캐시 디스크립터를 삽입합니다.
2. 이를 통해 일반 사용자가 쓰기 권한이 없는 파일에 데이터를 기록할 수 있습니다.
3. 이러한 기록을 통해 사용자는 root 권한을 얻게 됩니다.

취약점 코드는 IPSec 암호화 모듈에 존재합니다. 첫 번째 버그는 *xfrm-ESP Page Cache Write*이며, 커밋 `cac2661c53f3` (2017년)에 등장했습니다.
Ubuntu의 AppArmor는 이 최초의 구멍을 차단하므로 데모 PoC는 추가로 두 번째 버그인 *RxRPC Page‑Cache Write*를 사용합니다 (`2dc334f1a63a` 커밋).

결론: Dirty Frag는 대부분의 최신 리눅스 배포판에 심각한 위협을 제시합니다. 공식 패치가 나오기 전까지 esp4/esp6/rxrpc 모듈을 비활성화하거나 취약점이 수정된 커널 버전으로 업그레이드하는 것이 권장됩니다