리눅스 커널 perf_event_open 정수 타입 오류로 인한 로컬 권한 상승 취약점 (CVE-2013-2094)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT리눅스 커널 2.6.37부터 3.8.9 미만 버전이 탑재된 시스템
로컬 비특권 사용자가 악의적으로 조작된 perf_event_open 시스템 호출을 실행하여 루트(root) 권한을 획득할 수 있습니다
커널 버전을 3.8.9 이상으로 업데이트하거나, perf_event_paranoid 설정을 변경하여 비특권 사용자의 성능 모니터링 접근을 제한하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
취약점이 해결된 최신 안정화 버전 커널로 업데이트를 수행합니다.
# RHEL/CentOS 계열 커널 업데이트 및 재부팅
sudo yum update -y kernel
sudo reboot
# Ubuntu/Debian 계열 커널 업데이트 및 재부팅
sudo apt-get update
sudo apt-get install --only-upgrade -y linux-image-generic
sudo reboot2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 재부팅이 어려운 운영 환경에서는 perf_event 시스템 호출에 대한 비특권 사용자의 접근을 차단하여 공격을 방어합니다.
# 비특권 사용자의 perf_event 사용을 금지하도록 커널 파라미터 설정 (즉시 적용)
sudo sysctl -w kernel.perf_event_paranoid=2
# 재부팅 후에도 설정이 유지되도록 sysctl.conf에 반영
echo 'kernel.perf_event_paranoid = 2' | sudo tee -a /etc/sysctl.conf3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
현재 실행 중인 커널 버전을 확인하고 취약 여부를 진단하는 스크립트입니다.
# 현재 실행 중인 커널 버전 확인
CURRENT_KERNEL=$(uname -r)
echo 'Current Kernel Version:' $CURRENT_KERNEL
# perf_event_paranoid 설정 값 확인 (2 이상이어야 안전)
PARANOID_VAL=$(cat /proc/sys/kernel/perf_event_paranoid)
echo 'perf_event_paranoid value:' $PARANOID_VAL
if [ '$PARANOID_VAL' -lt 2 ]; then
echo '[WARNING] System is vulnerable if kernel version is between 2.6.37 and 3.8.8.'
fi패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2013-2094)은 리눅스 커널의 성능 모니터링 하위 시스템인 perf에서 발생한 심각한 정수 타입 오류(CWE-189) 취약점입니다. kernel/events/core.c 파일의 perf_swevent_init 함수는 소프트웨어 이벤트 배열의 인덱스를 검증하는 과정에서 64비트 정수(u64) 타입의 이벤트 ID를 32비트 정수(int) 타입 변수에 대입하여 처리합니다. 이 과정에서 정수 잘림(Integer Truncation) 또는 부호 있는 정수 오버플로우가 발생하여, 커널이 유효 범위를 벗어난 메모리 주소에 접근할 수 있는 경계 외 쓰기(Out-of-bounds Write) 취약점이 유발됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 로컬 쉘 권한을 가진 상태에서 perf_event_open 시스템 호출을 호출합니다. 이때 시스템 호출의 인자로 전달되는 perf_event_attr 구조체 내의 config 필드에 매우 큰 64비트 음수 값 또는 오버플로우를 유발하는 값을 주입합니다. perf_swevent_init 함수는 이 값을 32비트 정수로 캐스팅하면서 양수 범위 검증 필터를 우회하게 됩니다. 결과적으로 커널 공간 내의 정적 배열 범위를 초과하는 주소에 쓰기 연산이 수행되며, 공격자는 커널 메모리 내의 프로세스 자격 증명 구조체(예: cred 구조체의 uid/gid)를 0(root)으로 덮어써 즉각적인 루트 권한 상승을 달성할 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 공격에 광범위하게 악용된 이력이 있는 고위험군 취약점입니다. 다중 사용자(Multi-tenant) 환경, 공유 호스팅 서버, 또는 컨테이너 호스트 OS가 취약한 커널을 사용하는 경우, 단 하나의 컨테이너나 비특권 계정이 탈취당하는 것만으로도 전체 물리 서버 및 가상화 인프라의 제어권이 공격자에게 완전히 넘어갈 수 있습니다.
공식 보안 권고문 및 참조 링크
The perf_swevent_init function in kernel/events/core.c in the Linux kernel before 3.8.9 uses an incorrect integer data type, which allows local users to gain privileges via a crafted perf_event_open system call.
자주 묻는 실무 질문 (FAQ — CVE-2013-2094)
FAQQ1. CVE-2013-2094 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2013-2094의 기본 점수는 CVSS 8.4 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 47.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2013-2094에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: 리눅스 커널 버전 2.6.37 이상 3.8.9 미만 전 버전 (RHEL 6, CentOS 6, Debian, Ubuntu 등 당시 주요 배포판 포함)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 커널 버전을 3.8.9 이상으로 업데이트하거나, perf_event_paranoid 설정을 변경하여 비특권 사용자의 성능 모니터링 접근을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2013-2094 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (linux)
동일 카테고리 전체 보기 →리눅스 커널 IPv6 소켓 메모리 손상 취약점 (CVE-2026-53362) 분석 및 대응 가이드
[영향 대상] MSG_MORE 및 MSG_SPLICE_PAGES 플래그를 사용하는 UDPv6 소켓 통신 환경의 리눅스 커널 시스템
Linux 커널 algif_aead 제자리(In-place) 연산 오류로 인한 로컬 권한 상승 및 메모리 손상 취약점 (CVE-2026-31431)
[영향 대상] Linux 커널의 암호화 서브시스템(Crypto API) 내 `algif_aead` 모듈을 사용하는 시스템.
Linux 커널 Netfilter Bridge ebt_snat ARP 재작성 취약점 (CVE-2026-53266) 보안 권고
[영향 대상] Linux 커널의 ebtables SNAT 기능을 사용하는 브리지 네트워크 환경
Linux 커널 skbuff 공유 프래그먼트 마커 누락으로 인한 메모리 손상 취약점 (CVE-2026-46300)
[영향 대상] Linux 커널의 네트워크 스택(skbuff)을 사용하는 모든 시스템 및 IPsec(ESP) 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.