CVE 데이터베이스CVE-2021-3156

최종 갱신 2026-06-17English Advisory →

CVE-2021-31567.8/HIGHCISA KEV 등재CWE-193CWE-193

Sudo 힙 기반 버퍼 오버플로우 로컬 권한 상승 취약점 (CVE-2021-3156, Baron Samedit)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

sudo

대상 컴포넌트 / 패키지

sudo

권고문 발행일

2021-01-26

CVSS v3.1

7.8

HIGH

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Sudo 버전 1.8.2 ~ 1.8.31p2 및 1.9.0 ~ 1.9.5p1이 설치된 Unix 계열 운영체제

파급 효과

로컬 권한을 가진 일반 사용자가 'sudoedit -s' 명령과 백슬래시 인자를 악용하여 루트(root) 권한을 획득할 수 있습니다

권장 조치

Sudo 패키지를 최신 버전(1.9.5p2 이상)으로 즉시 업데이트하거나, 패치 적용 전까지 sudoedit 실행 권한을 제한하십시오

영향받는 제품 및 버전 범위

Sudo 버전 1.8.2부터 1.8.31p2까지, 그리고 1.9.0부터 1.9.5p1까지의 모든 버전 (1.9.5p2 미만)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

운영체제별 패키지 관리자를 사용하여 Sudo를 최신 보안 패치 버전(1.9.5p2 이상)으로 업데이트하십시오.

bash

# Debian/Ubuntu 계열
sudo apt-get update && sudo apt-get install --only-upgrade -y sudo

# RHEL/CentOS/Rocky Linux 계열
sudo yum update -y sudo

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, sudoedit의 실행 권한을 제거하거나 비활성화하여 취약점 악용 경로를 차단하십시오.

bash

# sudoedit(sudo 링크)에 대한 실행 권한 제한 (SetUID 해제)
sudo chmod 0711 /usr/bin/sudo

# 또는 sudoers 설정을 통해 일반 사용자의 sudoedit 실행 금지
# 'visudo' 명령을 실행하여 아래 설정을 추가하십시오.
# Alias 또는 특정 사용자에 대해 sudoedit 실행을 명시적으로 거부

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템의 Sudo 버전이 취약한지 확인하고, 취약점 테스트 및 공격 시도 로그를 점검하십시오.

bash

# 1. 취약 여부 자가 진단 (비특권 계정에서 실행 시 'sudoedit: 옵션...' 또는 세그멘테이션 결함 발생 여부 확인)
sudoedit -s '/' 2>&1 | grep -q 'invalid' && echo 'SAFE' || echo 'VULNERABLE'

# 2. 시스템 로그에서 sudoedit 악용 시도 흔적 검색
sudo grep -r 'sudoedit' /var/log/auth.log /var/log/secure 2>/dev/null

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

Sudo 패키지를 즉시 1.9.5p2 이상 버전으로 업데이트하여 로컬 권한 상승 위협을 원천 차단하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-3156, 일명 Baron Samedit)은 Sudo의 명령행 인자 파싱 로직에서 발생하는 Off-by-one 오류(CWE-193)로 인해 유발되는 힙 기반 버퍼 오버플로우 취약점입니다. Sudo가 쉘 모드('-s' 또는 '-i' 옵션)로 실행될 때, 명령행 인자의 메타문자(예: 백슬래시)를 이스케이프 처리하는 과정에서 버퍼 크기 계산 오류가 발생합니다. 인자의 끝이 단일 백슬래시('\') 문자로 끝날 경우, Sudo는 버퍼 경계를 초과하여 메모리를 계속 읽고 쓰게 되며, 이로 인해 힙 영역의 인접한 메모리 블록이 오버라이트됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 로컬 비특권 계정(예: nobody 또는 일반 사용자)에서 'sudoedit -s' 명령을 실행하면서, 마지막 문자가 백슬래시('\')로 끝나는 정밀하게 조작된 인자 배열을 전달합니다. Sudo 내부의 'set_arguments' 함수는 백슬래시를 만나면 다음 문자를 이스케이프하기 위해 포인터를 증가시키지만, 문자열의 끝(Null 바이트)을 지나쳐 버퍼 외부의 데이터를 복사하게 됩니다. 이 과정에서 힙 메모리 구조가 파괴되고, 공격자는 Sudo 프로세스의 실행 흐름을 제어하여 인증 과정 없이 루트(root) 쉘을 획득할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CVSS 7.8(High) 및 EPSS 0.9996(매우 높음)을 기록하고 있으며, CISA KEV(알려진 악용된 취약점 목록)에 등재되어 실제 공격에 활발히 악용되고 있습니다. 다중 사용자 환경, 공유 호스팅 서버, 컨테이너 호스트 등 로컬 접근이 가능한 모든 리눅스/유닉스 인프라에서 심각한 위협이 됩니다. 공격자가 웹 애플리케이션 취약점(예: RCE)을 통해 최초 침투에 성공한 후, 본 취약점을 악용하여 시스템 전체를 장악하고 백도어 설치, 데이터 탈취, 랜섬웨어 유포 등의 2차 피해를 유발할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Sudo before 1.9.5p2 contains an off-by-one error that can result in a heap-based buffer overflow, which allows privilege escalation to root via "sudoedit -s" and a command-line argument that ends with a single backslash character.

http://packetstormsecurity.com/files/161160/Sudo-Heap-Based-Buffer-Overflow.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/161230/Sudo-Buffer-Overflow-Privilege-Escalation.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/161270/Sudo-1.9.5p1-Buffer-Overflow-Privilege-Escalation.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/161293/Sudo-1.8.31p2-1.9.5p1-Buffer-Overflow.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/176932/glibc-syslog-Heap-Based-Buffer-Overflow.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://seclists.org/fulldisclosure/2021/Feb/42

출처: cve@mitre.org · Mailing List, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2021-3156)

FAQ

Q1. CVE-2021-3156 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-3156의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-3156에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 sudo이며, 대상 컴포넌트는 sudo입니다. 상세 영향 범위: Sudo 버전 1.8.2부터 1.8.31p2까지, 그리고 1.9.0부터 1.9.5p1까지의 모든 버전 (1.9.5p2 미만)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Sudo 패키지를 최신 버전(1.9.5p2 이상)으로 즉시 업데이트하거나, 패치 적용 전까지 sudoedit 실행 권한을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동