Red Hat / Oracle Linux ABRT 로컬 권한 상승 취약점 (CVE-2015-5287) 분석 및 대응 가이드

1. 패키지 업데이트 (권장)

운영체제 패키지 관리자를 사용하여 ABRT 관련 패키지를 최신 버전으로 업데이트합니다.

Red Hat Enterprise Linux / CentOS / Oracle Linux:

# 패키지 업데이트 수행
sudo yum update abrt abrt-addon-ccpp

# 서비스 재시작
sudo systemctl restart abrtd
sudo systemctl restart abrt-ccpp

2. 임시 완화 조치 (패치 적용이 어려운 경우)

패치 적용 전까지 취약한 코어 덤프 헬퍼 서비스(abrt-ccpp)를 비활성화하여 공격 경로를 차단합니다.

# abrt-ccpp 서비스 중지 및 비활성화
sudo systemctl stop abrt-ccpp
sudo systemctl disable abrt-ccpp

# sysctl을 통한 코어 덤프 핸들러 기본값 복구 (필요 시)
sudo sysctl -w kernel.core_pattern=core

본 취약점(CVE-2015-5287)은 Linux 환경에서 시스템 크래시 및 버그 리포팅을 담당하는 ABRT(Automatic Bug Reporting Tool)의 abrt-hook-ccpp 헬퍼 프로그램에서 발생하는 로컬 권한 상승(LPE) 취약점입니다.

취약점 발생 원인 (CWE-59)

abrt-hook-ccpp는 코어 덤프(Coredump)가 발생했을 때 이를 처리하기 위해 높은 권한(root)으로 실행됩니다. 이 과정에서 /var/tmp/abrt/ 또는 /var/spool/abrt/ 디렉터리 하위에 예측 가능한 파일명을 사용하여 임시 파일을 생성합니다.

공격 메커니즘

• 일반 로컬 사용자 권한을 가진 공격자가 /var/tmp/abrt/abrt-hax-coredump와 같이 예측 가능한 경로에 시스템의 중요 파일(예: /etc/ld.so.preload 또는 임의의 시스템 설정 파일)을 가리키는 심볼릭 링크를 미리 생성해 둡니다.
• 이후 의도적으로 크래시를 유발하여 abrt-hook-ccpp가 실행되도록 유도합니다.
• 높은 권한으로 실행된 ABRT는 심볼릭 링크를 검증 없이 그대로 따라가 대상 파일에 데이터를 쓰거나 권한을 변경하게 되며, 공격자는 이를 악용하여 root 권한으로 임의의 코드를 실행할 수 있게 됩니다.

이 취약점은 실제 공격에 악용된 이력이 존재하여 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으므로 신속한 조치가 필요합니다.