Red Hat 및 Linux libuser /etc/passwd 직접 수정 취약점 (CVE-2015-3246) 분석 및 대응 가이드

1. 패키지 업데이트 (권장)

시스템의 패키지 관리자를 사용하여 libuser 및 관련 패키지를 최신 버전으로 업데이트하십시오.

RHEL / CentOS 계열:

sudo yum update libuser usermode

Debian / Ubuntu 계열 (해당하는 경우):

sudo apt-get update && sudo apt-get install --only-upgrade libuser

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

패치 적용 전까지 일반 사용자가 userhelper를 실행하지 못하도록 Setuid 권한을 제거할 수 있습니다. (이 조치는 일부 GUI 기반 사용자 관리 도구의 작동에 영향을 줄 수 있습니다.)

# userhelper의 Setuid 비활성화
sudo chmod u-s /usr/sbin/userhelper

본 취약점(CVE-2015-3246)은 Linux 시스템 관리 유틸리티에서 사용하는 libuser 라이브러리가 /etc/passwd 파일을 안전하지 않게 직접 수정하는 과정에서 발생합니다.

일반적으로 시스템 사용자 정보를 변경할 때는 임시 파일을 생성한 후 원자적(Atomic)으로 교체하는 방식을 사용해야 하지만, 취약한 버전의 libuser는 대상 파일을 직접 수정합니다. 이 과정에서 로컬 공격자가 의도적으로 입출력 오류나 인터럽트를 유발하면 /etc/passwd 파일이 손상되어 시스템 로그인 불능 상태(서비스 거부)에 빠지게 됩니다.

특히 이 취약점은 usermode 패키지의 userhelper 프로그램(Setuid root 권한으로 실행됨)을 통해 악용될 수 있으며, 필드 검증 미흡 취약점인 CVE-2015-3245와 연계될 경우 로컬 일반 사용자가 루트(root) 권한을 완전히 획득할 수 있는 치명적인 권한 상승(LPE) 경로를 제공합니다. CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 악용된 이력이 확인된 만큼 신속한 조치가 필요합니다.