리눅스 TCP 핸드셰이크 결함, Claude가 원격 루트 익스플로잇 작성
TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
리눅스 커널의 IPv4 TCP 핸드셰이크에서 use-after-free 취약점(CVE-2026-98432)이 발견됐다. 커널 CNA는 CVSS 9.8 치명적으로 평가했고, Anthropic의 Xinyang Ge가 신고했다. Anthropic은 Claude가 멀티패스 TCP 리스너가 있는 서버에서 자격 증명 없이 루트 권한으로 명령을 실행하는 익스플로잇을 작성했다고 밝혔다. 업스트림은 4줄 수정으로 해결됐지만, 10월 29일 기준 Ubuntu 전 버전과 RHEL 8·9·10, Amazon Linux 2 등은 아직 패치가 없다.
Anthropic은 경쟁에서 진 경우 "전체 시스템을 다운시키지 않고 핸드셰이크만 실패하므로, 결심한 공격자는 성공할 때까지 무한히 재시도할 수 있다"고 말했다.
HN 토론
202- asveikau
> TCP Use-After-Free: CVE-2026-98432 / CVSS 9.8
HN에서 불필요한 정보를 제거하기 위해 제목을 편집하는 것이 관례라는 건 알지만, 여기서 "Linux"를 빼는 것은 정말 유용하고 관련 있는 정보를 없애는 것입니다. 이건 Linux 취약점입니다. *BSD나 Mac, Windows를 쓰고 있다면 영향을 받지 않습니다.
- peanut-walrus
이것에 대해 제가 얻은 몇 가지 메모:
- MPTCP는 요구 사항이 아니며, 일반적인 use-after-free입니다.
- 인터넷을 통한 익스플로잇 가능성은 낮습니다. 대부분의 ISP 라우터가 IP 옵션 필드가 있는 패킷을 드롭하기 때문입니다.
- 적어도 Red Hat에 따르면, 직접 IP 옵션이 있는 패킷을 드롭하는 것이 도움이 되지만 완전한 완화책은 아닙니다.
- 성공적인 익스플로잇은 패킷을 처리할 여러 CPU 코어를 필요로 하므로, 단일 코어만 있거나 패킷 처리가 단일 코어에 고정된 시스템은 영향을 받지 않습니다.
- swinglock
Ubuntu와 RHEL은 왜 아직 패치가 안 된 거죠? 서버에 적합하다고 마케팅하는 운영체제는 몇 안 되는데. 거기서 뭐 하고 있는 거야?
- teekert
저는 사이버 보안 RSS 피드 목록을 작성해서 작은 자동화(Hermes 에이전트의 감독 하에)를 만들어, CVE가 제 개입을 필요로 할 때(제가 고객과 저를 위해 운영하는 서비스 목록과 매칭하여) 저에게 알림(ntfy.sh 또는 그냥 Telegram)을 보내도록 하려고 합니다.
제 (피드) 목록은 아직 작은데, 이 CVE는 나타나지 않았습니다. 이런 목적에 사용할 RSS 피드에 대한 팁이 있으신가요?
- grey-area
Ubuntu나 Red Hat용 패치는 아직 없습니다.
- Shank
적어도 로드 밸런서 뒤의 Amazon Web Services에 있다면, 할로윈에 패치하느라 시간을 보낼 만큼 영향을 받을 가능성은 별로 없을 겁니다.
> AWS Web Application Firewall, Application Load Balancer, Classic Load Balancer, Network Load Balancer의 TLS 리스너, Cloud Front, API Gateway
> 위 서비스를 사용하는 고객은 모범 사례를 따를 경우 신뢰할 수 없는 소스로부터 직접 TCP 연결을 받지 않습니다. AWS는 이러한 서비스의 기반 인프라에 업데이트를 적용하고 있으며, 이러한 서비스를 사용 중이라면 고객이 즉시 조치할 필요는 없습니다. 그래도 고객은 이러한 서비스 뒤에 있는 자체 관리 인스턴스를 30일 이내에 업데이트할 것을 권장합니다.
[0]: https://aws.amazon.com/security/security-bulletins/2026-160-...
- winwang
괜찮아요 여러분, 작성자들이 그냥 좋은 C 코드를 작성할 줄 모르는 것뿐이에요. 진짜 C 프로그래머라면 이런 기본적인 use-after-free 버그를 출시하지 않았을 겁니다. Rust는 그냥 목발일 뿐이에요.
- 9cb14c1ec0
이렇게 쏟아지는 취약점 물결에 어떻게든 따라가야 하는데, 저만 지친 게 아닌 것 같네요?