CVE 데이터베이스CVE-2021-1048

최종 갱신 2026-06-17English Advisory →

CVE-2021-10487.8/HIGHCISA KEV 등재CWE-416CWE-416

Android 커널 eventpoll.c Use-After-Free 취약점 (CVE-2021-1048) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

google, linux

대상 컴포넌트 / 패키지

android, linux_kernel

권고문 발행일

2021-12-15

CVSS v3.1

7.8

HIGH

30일 악용확률

1.1%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Android 커널 및 업스트림 Linux 커널을 사용하는 모바일 디바이스 및 임베디드 시스템

파급 효과

로컬 공격자가 추가적인 실행 권한이나 사용자 상호작용 없이 커널 메모리를 오염시키고 루트(Root) 권한을 획득할 수 있습니다

권장 조치

Android 2021년 11월 보안 패치 또는 최신 업스트림 리눅스 커널 패치를 즉시 적용하십시오

영향받는 제품 및 버전 범위

Android 커널 (Android ID: A-204573007) 및 관련 업스트림 Linux 커널 버전을 사용하는 모든 디바이스

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Android 디바이스 제조업체 및 인프라 관리자는 2021년 11월 1일 이후 배포된 Android 보안 패치 레벨을 적용해야 합니다. 리눅스 커널 소스를 직접 빌드하는 경우, 업스트림 패치가 적용된 커널 버전으로 업그레이드하십시오.

bash

# Android 커널 소스 동기화 및 패치 적용 예시
cd /path/to/android/kernel
git fetch aosp
git merge aosp/kernel/common/android-4.19-stable

# 빌드 및 배포
make ARCH=arm64 defconfig
make ARCH=arm64 -j$(nproc)

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

커널 패치 적용이 불가능한 환경에서는 비특권 사용자의 epoll 관련 시스템 콜 호출을 제한하거나, 로컬 쉘 접근 권한을 엄격히 통제해야 합니다. SELinux 정책을 강화하여 신뢰할 수 없는 앱의 시스템 콜 범위를 제한하십시오.

bash

# SELinux 상태를 Enforcing 모드로 강제 설정
setenforce 1

# 비특권 사용자의 ptrace 및 디버깅 도구 사용 제한
sysctl -w kernel.yama.ptrace_scope=3

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템의 커널 버전 및 보안 패치 적용 여부를 확인하고, 커널 패닉 로그에서 epoll 관련 Use-After-Free 흔적을 탐지하는 스크립트입니다.

bash

# Android 보안 패치 날짜 확인
getprop ro.build.version.security_patch

# 커널 링 버퍼(dmesg)에서 epoll 관련 UAF 또는 커널 패닉 흔적 검색
dmesg | grep -Ei 'use-after-free|epoll|ep_loop_check'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 취약점이므로, Android 디바이스의 보안 패치 수준을 2021-11-01 이상으로 즉시 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-1048)은 Linux 커널의 fs/eventpoll.c 소스 코드 내 ep_loop_check_proc 함수에서 발생하는 Use-After-Free(UAF) 취약점입니다. 에포크(epoll) 파일 디스크립터의 루프 및 참조 관계를 검사하는 과정에서, 특정 객체의 참조 카운트가 올바르게 관리되지 않아 이미 해제된 메모리 영역을 참조하는 결함이 존재합니다. 이로 인해 커널 메모리 오염이 발생할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 로컬 권한을 가진 상태에서 다중 epoll 인스턴스를 생성하고, 이들 간의 복잡한 순환 참조(Loop) 관계를 구성합니다. ep_loop_check_proc가 실행되는 동안, 경쟁 조건(Race Condition) 또는 비정상적인 파일 디스크립터 해제 흐름을 유도하여 특정 epitem 또는 eventpoll 구조체가 먼저 해제되도록 만듭니다. 이후 해제된 메모리 영역에 공격자가 제어하는 데이터를 재할당(Heap Spraying)한 뒤, 커널이 해당 포인터를 다시 참조할 때 제어 흐름을 가로채 권한 상승을 수행합니다. 이 과정은 사용자 상호작용(User Interaction) 없이 완전히 자동화되어 실행될 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재된 실제 악용 사례가 확인된 고위험군 취약점입니다. 로컬 권한을 가진 악성 앱이나 쉘 권한을 획득한 공격자가 이 취약점을 악용할 경우, 샌드박스를 우회하여 최고 권한인 커널 레벨(Root) 권한을 획득할 수 있습니다. 이는 디바이스 내의 민감 정보 탈취, 시스템 무력화, 영구적인 백도어 설치로 이어질 수 있어 비즈니스 자산 및 사용자 데이터에 치명적인 영향을 미칩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In ep_loop_check_proc of eventpoll.c, there is a possible way to corrupt memory due to a use after free. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.Product: AndroidVersions: Android kernelAndroid ID: A-204573007References: Upstream kernel

https://source.android.com/security/bulletin/2021-11-01

출처: security@android.com · Patch, Vendor Advisory

https://source.android.com/security/bulletin/2021-11-01

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1048

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Third Party Advisory, US Government Resource