Linux 커널 Dirty Pipe 로컬 권한 상승 취약점 (CVE-2022-0847)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTLinux 커널 버전 5.8 이상 및 5.16.11, 5.15.25, 5.10.102 미만의 시스템
권한이 없는 로컬 사용자가 읽기 전용 파일의 페이지 캐시에 임의 데이터를 작성하여 루트(Root) 권한을 획득할 수 있습니다
배포판별 최신 안정화 커널 버전으로 즉시 업데이트하고 시스템을 재부팅하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
사용 중인 OS 배포판의 패키지 관리자를 사용하여 커널을 최신 버전으로 업데이트하고 시스템을 재부팅합니다.
# Ubuntu / Debian 계열
sudo apt-get update && sudo apt-get install --only-upgrade -y linux-image-generic
sudo reboot
# RHEL / Rocky Linux / AlmaLinux 계열
sudo dnf update -y kernel
sudo reboot2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
커널 패치 적용 전까지 임시 조치로 신뢰할 수 없는 로컬 사용자의 SSH 접근을 제한하고, 컴파일러 및 개발 도구의 실행 권한을 제한하여 익스플로잇 바이너리 빌드를 방해합니다.
# 일반 사용자의 컴파일러 실행 권한 제한
sudo chmod 700 /usr/bin/gcc /usr/bin/g++ /usr/bin/make 2>/dev/null || true
# 비인가 사용자의 로컬 로그인 제한 (SSH 설정 변경)
# /etc/ssh/sshd_config 파일에서 AllowUsers 또는 AllowGroups 설정을 적용하십시오.3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
현재 실행 중인 커널 버전을 확인하고 취약 여부를 점검하는 스크립트입니다.
# 커널 버전 확인 스크립트
KERNEL_VER=$(uname -r | cut -d'-' -f1)
echo 'Current Kernel:' $KERNEL_VER
# SUID 바이너리 및 /etc/passwd 파일의 최근 변경 이력 모니터링
sudo find / -perm -4000 -type f -mmin -60 2>/dev/null패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(일명 'Dirty Pipe')은 Linux 커널의 파이프 버퍼 구조체(pipe_buffer) 내 flags 멤버가 적절히 초기화되지 않아 발생합니다. copy_page_to_iter_pipe 및 push_pipe 함수에서 새로운 파이프 버퍼를 할당할 때 기존의 잔존 값(Stale Values)이 그대로 유지되는 미초기화 취약점(CWE-665)이 근본적인 원인입니다. 이로 인해 이전에 설정된 PIPE_BUF_FLAG_CAN_MERGE 플래그가 초기화되지 않고 남아있게 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 파이프에 데이터를 가득 채워 모든 버퍼에 PIPE_BUF_FLAG_CAN_MERGE 플래그를 강제로 설정한 후, 파이프를 비웁니다. 그 후 splice() 시스템 콜을 사용하여 읽기 전용 파일(예: /etc/passwd 또는 SUID 바이너리)의 페이지 캐시를 파이프 버퍼로 병합합니다. 이때 미초기화된 플래그로 인해 커널은 해당 페이지 캐시를 쓰기 가능한 상태로 오인하게 되며, 공격자가 파이프에 새로 작성하는 데이터가 원본 읽기 전용 파일의 메모리 페이지 캐시에 직접 덮어씌워지게 됩니다. 이는 디스크의 실제 파일이 수정되지 않더라도 메모리 상에서 권한 검증을 우회하여 SUID 바이너리를 하이재킹하거나 계정 정보를 변조할 수 있게 만듭니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CVSS 7.8(High) 및 EPSS 0.928로 평가되었으며, 실제 공격에 악용된 이력(CISA KEV 등재)이 존재합니다. 로컬 셸 권한을 가진 공격자가 단 몇 초 만에 완전한 루트(root) 권한을 획득할 수 있으므로, 다중 사용자 서버, 컨테이너 호스트 환경, 클라우드 인프라에 치명적인 위협이 됩니다. 컨테이너 내부에서 호스트 커널의 취약점을 악용하여 컨테이너 탈출(Container Escape)을 감행할 수도 있습니다.
공식 보안 권고문 및 참조 링크
A flaw was found in the way the "flags" member of the new pipe buffer structure was lacking proper initialization in copy_page_to_iter_pipe and push_pipe functions in the Linux kernel and could thus contain stale values. An unprivileged local user could use this flaw to write to pages in the page cache backed by read only files and as such escalate their privileges on the system.
자주 묻는 실무 질문 (FAQ — CVE-2022-0847)
FAQQ1. CVE-2022-0847 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2022-0847의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 92.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2022-0847에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: Linux Kernel 5.8 이상 버전 중 5.16.11, 5.15.25, 5.10.102 미만 버전
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 배포판별 최신 안정화 커널 버전으로 즉시 업데이트하고 시스템을 재부팅하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2022-0847 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (linux)
동일 카테고리 전체 보기 →리눅스 커널 IPv6 소켓 메모리 손상 취약점 (CVE-2026-53362) 분석 및 대응 가이드
[영향 대상] MSG_MORE 및 MSG_SPLICE_PAGES 플래그를 사용하는 UDPv6 소켓 통신 환경의 리눅스 커널 시스템
Linux 커널 algif_aead 제자리(In-place) 연산 오류로 인한 로컬 권한 상승 및 메모리 손상 취약점 (CVE-2026-31431)
[영향 대상] Linux 커널의 암호화 서브시스템(Crypto API) 내 `algif_aead` 모듈을 사용하는 시스템.
Linux 커널 Netfilter Bridge ebt_snat ARP 재작성 취약점 (CVE-2026-53266) 보안 권고
[영향 대상] Linux 커널의 ebtables SNAT 기능을 사용하는 브리지 네트워크 환경
Linux 커널 skbuff 공유 프래그먼트 마커 누락으로 인한 메모리 손상 취약점 (CVE-2026-46300)
[영향 대상] Linux 커널의 네트워크 스택(skbuff)을 사용하는 모든 시스템 및 IPsec(ESP) 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.