Ubuntu, 원격 root 탈취 취약점을 두 주 넘게 방치했다
WTF Ubuntu?
2016년부터 Linux 커널 TCP 코드에 있던 CVSS 9.8 취약점 CVE-2026-98432는 원격에서 root 권한을 얻을 수 있다. Debian은 10월 16일 패치했지만 Ubuntu는 LTS를 포함한 모든 지원 버전이 여전히 'Vulnerable' 상태다. 작성자는 보안 구독을 파는 Canonical이 자원봉사자들이 운영하는 Debian, Arch, Alpine보다 늦었다는 점을 꼬집으며 모든 서버를 Ubuntu에서 옮기겠다고 밝혔다.
자원봉사자들이 운영하는 배포판(Debian, Arch, Alpine 등)은 수정본을 내놨다. 그런데 보안 구독을 판매하는 회사가 만드는 Ubuntu는 아직 내놓지 않았다.
HN 토론
571- BoppreH
설상가상으로, Ubuntu 보안 사건 페이지[0]에는 "Ubuntu 우선순위: 높음"이 나와 있습니다(예정에 없던 패치를 촉발하는 '치명적'이 아니라). "이 우선순위인 이유는?" 링크가 있는데, 거기엔 그냥 이렇게만 적혀 있습니다:
> 이 CVE가 높은 우선순위인 이유는 무엇인가요?
> ubuntu cvss 점수 보기
그게 전부입니다. 심지어 이 미완성 문장에는 마침표조차 없습니다. 그 뒤에는 "Ubuntu 우선순위"가 무엇인지 설명하는 일반적인 링크가 있지만, 그 페이지는 그들의 선택과 모순됩니다. 완화책도 전혀 제공하지 않는다는 점에 주목하세요. 심지어 (끔찍하게 불분명한) 설명조차 NIST 페이지에서 복사한 것이라, Ubuntu 측의 실제 메시지는 없는 셈입니다.
`apt upgrade`에서 "Ubuntu Pro를 통해 더 많은 보안 업데이트 받기"를 처음 봤을 때부터 이미 찜찜했는데, 이제 다른 배포판으로 옮겨야겠다는 확신이 들었습니다.
[0] https://ubuntu.com/security/CVE-2026-98432#priority-reason
- throw0101c
기록을 위해 말하자면, 수정 사항이 포함된 커널은 각 LTS 릴리스의 "proposed" 저장소에 있습니다:
* https://launchpad.net/ubuntu/+source/linux
apt-get에 "-t"를 추가하면 받아올 수 있습니다(하지만 기본적으로는 나타나지 않습니다).
26LTS는 새 커널이 10월 28일에 updates/security 저장소로 넘어갔습니다.
- alentred
공정하게 말하자면: 치명적(9.8)이긴 하지만 EPSS 점수는 <1%입니다(실제로 악용될 확률). [1], [2] 및 다른 자료에 따르면, 최악의 경우 이 문제는 커널 크래시나 서비스 거부로 이어집니다. Anthropic의 글도 읽어봤지만, 모두가 DoS라고 하는데 Anthropic만 RCE라고 주장하는 것 사이에 뭔가 맞지 않습니다. 지금까지 읽은 권고문들은 "특정 조건에서 ... 커널 크래시를 초래할 수 있다"와 비슷한 내용을 명시하고 있습니다.
[1] https://app.opencve.io/cve/CVE-2026-98432
[2] https://aws.amazon.com/security/security-bulletins/2026-160-...
- paxy
비판하는 건 괜찮지만, 적어도 건설적으로 해야 합니다. 이런 "매니저 불러오세요" 식의 태도는 오픈 소스에서 지양해야 합니다.
이 글은 이 취약점이 무엇인지, 얼마나 심각한지, 개인적으로 어떤 영향을 받는지, 서버가 얼마나 취약한지, 어떻게 우회하고 있는지에 대한 세부 정보를 전혀 제공하지 않습니다.
그냥 최대한의 분노를 유발하도록 설계된 제목에 의미 없는 몇 줄이 따라붙은 것뿐입니다.
- vanschelven
링크를 클릭하기 전에 무슨 내용인지 알았습니다. 취약한 시스템에 대한 해결책을 찾으면서 Ubuntu 측에서 도대체 무슨 일이 벌어지고 있는지에 대한 어떤 종류의 "공식" 입장이라도 찾고 있었지만, 아직 찾지 못했습니다. 아마 우리 모두가 잘 아는 "해커 뉴스가 충분히 주목해서 누군가 신경 쓸 때까지" 단계를 거쳐야 하는 모양입니다...
- StrLght
이 취약점 때문에 기업들이 피해를 입은 사례가 있나요? Ubuntu는 설치 기반이 엄청나게 큽니다. 주목할 만한 사고가 없다는 것은 9.8이 현실을 잘 반영하지 못할 수도 있음을 시사합니다.
이제 StealMyBitcoinV2를 만들 때가 된 걸지도...
- strenholme
해냈습니다. 이게 낙타 등을 부러뜨린 마지막 지푸라기였습니다: Rocky Linux로 옮겼습니다. 전체 전환에 아마 네 시간 정도 걸렸습니다.
저는 RedHat 사용자에 더 가깝고, Ubuntu는 항상 편안하게 느껴지지 않았습니다. 2년마다 증분 업그레이드를 해야 하는 게 싫습니다. 차라리 7-8년에 한 번씩 큰 업그레이드를 하고 견고한 개발 환경을 유지하고 싶습니다. 또한 `dnf`가 `apt-get`과 `unattended-upgrades`의 혼란보다 더 간단하고 안정적입니다.
- strenholme
이 취약점에 대한 Ubuntu의 웹페이지는 다음과 같습니다:
https://ubuntu.com/security/CVE-2026-98432
공개 및 패치가 나온 지 일주일이 넘었는데도 Ubuntu에서는 여전히 패치되지 않았습니다.
저 같은 경우에는 Rocky Linux 10으로 옮기고 싶은 마음이 일부 있습니다.
- bortimus
AWS가 Amazon Linux 2용 패치를 배포하고 있는데 Ubuntu는 여전히 기다리고 있다니.. 그래요.
- imjonse
"Anthropic은 서버에서 root 권한을 얻는 동작하는 익스플로잇을 만들었다고 합니다. 완전한 장악입니다."
링크된 Ubuntu CVE 페이지에서
"
취약한 시스템 - 기밀성 영향 낮음
취약한 시스템 - 무결성 영향 낮음
취약한 시스템 - 가용성 영향 높음
"
이라고 하니 서비스 거부에 더 가깝다는 뜻입니다. 그럼 어느 쪽인가요? 링크된 debian 이메일에는 수십 개의 커널 CVE가 수정되어 있습니다.