CVE 데이터베이스CVE-2021-22555

최종 갱신 2026-10-13English Advisory →

CVE-2021-225557.8/HIGHCISA KEV 등재CWE-787CWE-787

리눅스 커널 Netfilter x_tables 힙 경계 외 쓰기 로컬 권한 상승 취약점 (CVE-2021-22555) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

linux

대상 컴포넌트 / 패키지

linux_kernel

권고문 발행일

2021-07-07

CVSS v3.1

7.8

HIGH

30일 악용확률

78.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Linux Kernel v2.6.19-rc1 이상 버전 중 패치가 적용되지 않은 시스템 (특히 사용자 네임스페이스가 활성화된 환경)

파급 효과

로컬 권한을 가진 공격자가 힙 메모리 손상을 유도하여 루트(root) 권한을 획득하거나 시스템 서비스 거부(DoS) 상태를 유발할 수 있음

권장 조치

리눅스 커널을 최신 안정 버전으로 업데이트하고, 즉각적인 패치가 불가능한 경우 사용자 네임스페이스(User Namespace) 생성을 제한하는 완화 조치 적용

영향받는 제품 및 버전 범위

Linux Kernel v2.6.19-rc1부터 패치 이전 버전까지 (Ubuntu, Debian, RHEL 등 다수의 배포판 영향)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

사용 중인 리눅스 배포판의 패키지 관리자를 사용하여 커널을 최신 버전으로 업데이트하고 시스템을 재부팅합니다.

bash

# Ubuntu / Debian 계열 시스템 업데이트
sudo apt-get update && sudo apt-get install --only-upgrade -y linux-image-generic
sudo reboot

# RHEL / CentOS / Rocky Linux 계열 시스템 업데이트
sudo yum update -y kernel
sudo reboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 재부팅이나 패치가 어려운 경우, 비특권 사용자의 네임스페이스 생성을 차단하여 공격 체인을 무력화합니다.

bash

# 임시로 비특권 사용자 네임스페이스 생성 비활성화
sudo sysctl -w kernel.unprivileged_userns_clone=0

# 재부팅 후에도 설정이 유지되도록 sysctl.conf에 반영
echo 'kernel.unprivileged_userns_clone=0' | sudo tee -a /etc/sysctl.d/99-disable-userns.conf
sudo sysctl --system

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템의 커널 버전이 취약한 범위에 있는지 확인하고, 시스템 로그에서 비정상적인 네임스페이스 생성 시도를 점검합니다.

bash

# 현재 실행 중인 커널 버전 확인
uname -r

# 시스템 로그(dmesg/syslog)에서 Netfilter 관련 커널 패닉 또는 세그멘테이션 오류 흔적 검색
sudo dmesg | grep -Ei 'x_tables|netfilter|general protection fault|unable to handle kernel'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 취약점이므로, 즉시 커널 패키지를 업데이트하거나 비특권 사용자 네임스페이스 생성을 비활성화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-22555)은 리눅스 커널의 방화벽 및 패킷 필터링 프레임워크인 Netfilter의 net/netfilter/x_tables.c 구성 요소에서 발생한 힙 경계 외 쓰기(Heap Out-of-Bounds Write, CWE-787) 취약점입니다. 32비트 호환성 계층(compat)을 통해 64비트 커널로 구조체를 전달하고 변환하는 과정에서, 커널이 할당된 힙 버퍼의 크기를 잘못 계산하여 실제 할당된 영역을 초과하는 위치에 0(null) 바이트를 작성하는 오프셋 계산 오류가 근본적인 원인입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 비특권 사용자 계정에서 CLONE_NEWUSER 플래그를 사용하여 새로운 사용자 네임스페이스(User Namespace)를 생성합니다. 이 네임스페이스 내부에서는 임시로 CAP_NET_ADMIN 권한을 획득할 수 있어 Netfilter 소켓 API(setsockopt)를 호출할 수 있게 됩니다. 공격자가 특수하게 조작된 IPT_SO_SET_REPLACE 또는 IP6T_SO_SET_REPLACE 요청을 전송하면, 커널의 compat_do_replace 함수가 호출됩니다. 이 과정에서 32비트 구조체를 64비트 구조체로 변환할 때 패딩 바이트를 정렬하는 로직의 결함으로 인해, 할당된 힙 메모리 경계를 넘어선 위치에 쓰기 작업이 수행되어 인접한 커널 객체의 포인터나 데이터를 오염시킵니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, 실제 공격에 활발히 악용된 이력이 있는 고위험 취약점입니다. 컨테이너 환경(Docker, Kubernetes 등)에서 개별 컨테이너 내부의 비특권 사용자가 호스트 OS의 루트 권한을 탈취하여 전체 노드를 장악하는 컨테이너 탈옥(Container Escape) 시나리오로 이어질 수 있습니다. 이는 멀티테넌트 클라우드 인프라 및 엔터프라이즈 서버 환경에 치명적인 비즈니스 중단 및 데이터 유출 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A heap out-of-bounds write affecting Linux since v2.6.19-rc1 was discovered in net/netfilter/x_tables.c. This allows an attacker to gain privileges or cause a DoS (via heap memory corruption) through user name space

http://packetstormsecurity.com/files/163528/Linux-Kernel-Netfilter-Heap-Out-Of-Bounds-Write.html

출처: cve-coordination@google.com · Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/163878/Kernel-Live-Patch-Security-Notice-LSN-0080-1.html

출처: cve-coordination@google.com · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/164155/Kernel-Live-Patch-Security-Notice-LSN-0081-1.html

출처: cve-coordination@google.com · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/164437/Netfilter-x_tables-Heap-Out-Of-Bounds-Write-Privilege-Escalation.html

출처: cve-coordination@google.com · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/165477/Kernel-Live-Patch-Security-Notice-LSN-0083-1.html

출처: cve-coordination@google.com · Exploit, Third Party Advisory, VDB Entry

https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/net/netfilter/x_tables.c?id=9fa492cdc160cd27ce1046cb36f47d3b2b1efa21

출처: cve-coordination@google.com · Mailing List, Patch, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2021-22555)

FAQ

Q1. CVE-2021-22555 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-22555의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 78.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-22555에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: Linux Kernel v2.6.19-rc1부터 패치 이전 버전까지 (Ubuntu, Debian, RHEL 등 다수의 배포판 영향)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 리눅스 커널을 최신 안정 버전으로 업데이트하고, 즉각적인 패치가 불가능한 경우 사용자 네임스페이스(User Namespace) 생성을 제한하는 완화 조치 적용 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동