가상서버 격리 경계 뚫렸다…리눅스 KVM 고위험 취약점 공개

리눅스 커널에서 발견된 고위험 취약점이 KVM 사용 환경에서 악용될 수 있는 것으로 공개됐다. 16일 The Hacker News 등 외신 보도에 따르면 보안 연구팀 PWN.AI가 대상 취약점인 PwnEscape의 상세를 공개했다. 이 취약점의 식별자는 CVE-2026-99999다.

PwnEscape는 가상서버 간 격리 경계를 우회할 수 있는 취약점으로 알려졌다. 취약점이 악용될 경우 물리 서버에 접근할 수 있는 것으로 전해졌다. KVM의 정식 명칭은 Kernel-based Virtual Machine이다.

KVM은 1대 물리 서버에서 다수 VM 실행을 지원하는 기능이다. KVM 기반으로는 리눅스 운영체제 가상화가 활용된다. KVM은 클라우드 서비스·데이터센터 등에서 사용된다.

이 같은 내용과 관련해 AWS는 보안 공지를 게시했다. AWS는 가상화 환경 운영 이용자를 대상으로 업데이트를 권고했다.

가상머신인 VM은 상호 분리 원칙에 따라 한 VM의 장애가 다른 VM·호스트 서버에 영향을 주지 않는 것을 전제로 한다. 그러나 이번 취약점이 악용될 경우에는 VM 격리 경계를 돌파해 실제 서버에 접근할 수 있다. 취약점은 VM-서버 간 네트워크 데이터 송수신 과정에서 발생한다.

공격 조건은 VM 내부에서 높은 권한을 확보한 뒤 특수 네트워크 패킷을 전송하는 것이다. 이 경우 공격 효과로 VM 구동 서버의 리눅스 커널 메모리에 영향을 줄 가능성이 있다. 커널은 운영체제의 핵심 기능을 관리한다.

AWS는 이 취약점과 관련해 공격자에 의해 서버 메모리의 일부가 유출될 수 있다고 설명했다. AWS는 또 서버 작동 불능이 유발될 수 있다고 설명했다. 원인으로는 리눅스 커널이 네트워크 데이터를 처리하는 과정에서 정보 검증이 불충분한 점이 지목됐다.

PWN.AI 연구진은 자체 구축한 KVM 시험 환경에서 서버 메모리 읽기에 성공했다. PWN.AI 연구진은 제한적 커널 메모리 수정에도 성공했다. 이어 서버 최고 관리자 권한으로 코드 실행에 도달했다. 이는 가상서버 내부 침입자가 서버로 확장할 가능성을 입증한 내용이다.

폰이스케이프의 위험성은 크지만, 이 취약점은 외부에서 즉시 서버를 장악할 수 있는 수준은 아닌 것으로 설명된다. 악용하려면 가상서버 내부의 높은 권한을 먼저 확보해야 하며, 실제 공격에 악용된 정황은 아직 확인되지 않았다.

영향을 받는 환경은 패치가 적용되지 않은 리눅스 커널 4.4~6.18을 사용하는 경우다. 여기에 KVM을 사용하고, 'virtio-net'을 사용하며, VM을 직접 운영하는 조건이 충족돼야 한다.

AWS는 '파이어크래커(Firecracker)' 같은 가상머신 실행 기술을 직접 관리하는 환경도 영향 가능성이 있다고 설명했다. 반면 AWS 관리 서비스인 아마존 EC2와 AWS 람다, AWS 파게이트는 영향을 받지 않는다.

대응과 관련해 AWS는 아마존 리눅스 2 수정 커널 업데이트와 아마존 리눅스 2023 수정 커널 업데이트를 배포했다. 우회 방법은 없으며, 영향 버전을 사용 중인 경우 업데이트를 적용해야 한다. 업데이트 후에는 시스템 재부팅도 필요하다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242251

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242251