리눅스 커널 af_packet.c 이중 해제(Double Free) 로컬 권한 상승 취약점 (CVE-2021-22600) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT특정 패치 버전 이전의 리눅스 커널(Linux Kernel) 환경
로컬 권한을 가진 공격자가 조작된 시스템 콜을 호출하여 커널 메모리 손상 및 루트(Root) 권한 상승 또는 시스템 서비스 거부(DoS) 유발 가능
리눅스 배포판별 최신 커널 패치를 적용하거나 업스트림 커널 커밋(ec6af094ea28)이 반영된 버전으로 업그레이드
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
운영체제 배포판의 패키지 관리자를 사용하여 커널을 최신 버전으로 업데이트하고 시스템을 재부팅합니다.
# Debian/Ubuntu 계열 시스템 업데이트
sudo apt-get update && sudo apt-get install --only-upgrade -y linux-image-generic
sudo reboot
# RHEL/Rocky Linux 계열 시스템 업데이트
sudo dnf clean all && sudo dnf update -y kernel
sudo reboot2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 재부팅이 어려운 경우, 비특권 사용자의 사용자 네임스페이스(User Namespace) 생성을 제한하여 공격 표면을 줄일 수 있습니다.
# 비특권 사용자의 user namespace 생성 비활성화 (Sysctl 설정)
sudo sysctl -w kernel.unprivileged_userns_clone=0
echo 'kernel.unprivileged_userns_clone=0' | sudo tee -a /etc/sysctl.d/99-disable-userns.conf3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
현재 실행 중인 커널 버전을 확인하고 시스템 로그에서 af_packet 관련 커널 패닉이나 오류 흔적을 점검합니다.
# 현재 커널 버전 확인
uname -r
# 커널 링 버퍼 및 시스템 로그에서 af_packet 관련 이상 징후 검색
sudo dmesg | grep -Ei 'double free|af_packet|packet_set_ring'
sudo journalctl -k | grep -Ei 'general protection fault|kernel panic'패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2021-22600)은 리눅스 커널의 네트워크 패킷 처리 서브시스템인 net/packet/af_packet.c 내 packet_set_ring() 함수에서 발생하는 이중 해제(Double Free, CWE-415) 취약점입니다. 패킷 링 버퍼의 크기나 설정을 변경하는 과정에서 예외 처리 및 자원 해제 로직의 결함으로 인해, 이미 해제된 메모리 포인터가 적절히 초기화되지 않고 재차 해제(Free) 프로세스를 거치게 되면서 커널 힙 메모리 구조가 오염됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
로컬 권한을 가진 공격자는 setsockopt() 시스템 콜을 통해 PACKET_RX_RING 또는 PACKET_TX_RING 옵션을 정밀하게 조작하여 호출합니다. 이 과정에서 커널이 메모리 할당 실패나 유효성 검증 실패 등의 예외 상황을 처리할 때, 동일한 메모리 블록에 대해 kfree()를 중복 호출하도록 유도합니다. 공격자는 커널 힙(SLUB/SLAB 할당자)의 이중 해제 상태를 악용하여 해제된 청크(Chunk) 자리에 제어 가능한 데이터를 배치하는 힙 스프레이(Heap Spraying) 기법을 수행하고, 최종적으로 커널 실행 흐름을 장악하여 권한 상승을 달성할 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 만큼 실제 야생(In-the-Wild)에서 악용된 이력이 존재합니다. 로컬 사용자 권한만 확보하면 컨테이너 환경 내부나 제한된 쉘 환경에서도 호스트 커널을 장악하여 완전한 루트(Root) 권한을 획득할 수 있습니다. 이는 멀티테넌트 클라우드 인프라나 공유 호스팅 환경에서 심각한 격리 우회 및 데이터 유출 사고로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
A double free bug in packet_set_ring() in net/packet/af_packet.c can be exploited by a local user through crafted syscalls to escalate privileges or deny service. We recommend upgrading kernel past the effected versions or rebuilding past ec6af094ea28f0f2dda1a6a33b14cd57e36a9755
자주 묻는 실무 질문 (FAQ — CVE-2021-22600)
FAQQ1. CVE-2021-22600 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2021-22600의 기본 점수는 CVSS 7.0 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 6.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2021-22600에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: 리눅스 커널(Linux Kernel) 업스트림 커밋 ec6af094ea28f0f2dda1a6a33b14cd57e36a9755 이전 버전
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 리눅스 배포판별 최신 커널 패치를 적용하거나 업스트림 커널 커밋(ec6af094ea28)이 반영된 버전으로 업그레이드 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2021-22600 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (linux)
동일 카테고리 전체 보기 →리눅스 커널 IPv6 소켓 메모리 손상 취약점 (CVE-2026-53362) 분석 및 대응 가이드
[영향 대상] MSG_MORE 및 MSG_SPLICE_PAGES 플래그를 사용하는 UDPv6 소켓 통신 환경의 리눅스 커널 시스템
Linux 커널 algif_aead 제자리(In-place) 연산 오류로 인한 로컬 권한 상승 및 메모리 손상 취약점 (CVE-2026-31431)
[영향 대상] Linux 커널의 암호화 서브시스템(Crypto API) 내 `algif_aead` 모듈을 사용하는 시스템.
Linux 커널 Netfilter Bridge ebt_snat ARP 재작성 취약점 (CVE-2026-53266) 보안 권고
[영향 대상] Linux 커널의 ebtables SNAT 기능을 사용하는 브리지 네트워크 환경
Linux 커널 skbuff 공유 프래그먼트 마커 누락으로 인한 메모리 손상 취약점 (CVE-2026-46300)
[영향 대상] Linux 커널의 네트워크 스택(skbuff)을 사용하는 모든 시스템 및 IPsec(ESP) 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.