CVE 데이터베이스CVE-2022-2586

최종 갱신 2026-10-14English Advisory →

CVE-2022-25867.8/HIGHCISA KEV 등재CWE-416CWE-416

리눅스 커널 Netfilter Use-After-Free 로컬 권한 상승 취약점 (CVE-2022-2586) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

linux

대상 컴포넌트 / 패키지

linux_kernel

권고문 발행일

2024-01-08

CVSS v3.1

7.8

HIGH

30일 악용확률

10.2%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

리눅스 커널(Linux Kernel)의 Netfilter(nftables) 서브시스템을 사용하는 시스템

파급 효과

로컬 공격자가 커널 메모리 손상을 유발하여 루트(root) 권한으로 임의 코드를 실행하고 시스템을 완전히 장악할 수 있습니다

권장 조치

배포판별 최신 보안 패치 커널로 업데이트하고, 즉각적인 패치가 불가능한 경우 비특권 사용자 네임스페이스 생성을 제한하십시오

영향받는 제품 및 버전 범위

리눅스 커널(Linux Kernel) Netfilter 서브시스템 탑재 버전 (Ubuntu 20.04 LTS, 22.04 LTS 등 주요 배포판 커널 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

우분투(Ubuntu) 및 데비안(Debian) 계열 시스템에서는 아래 명령어를 통해 커널 패키지를 최신 버전으로 업데이트하고 시스템을 재부팅합니다.

bash

# 패키지 리스트 업데이트 및 커널 업그레이드 진행
sudo apt-get update
sudo apt-get install --only-upgrade -y linux-image-generic linux-headers-generic

# 시스템 재부팅을 통한 신규 커널 적용
sudo reboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 재부팅이 어려운 운영 환경에서는 비특권 사용자가 사용자 네임스페이스(User Namespace)를 생성하지 못하도록 제한하여 공격 표면을 차단합니다.

bash

# 비특권 사용자 네임스페이스 생성 비활성화 (즉시 적용)
sudo sysctl -w kernel.unprivileged_userns_clone=0

# 재부팅 후에도 영구 적용되도록 설정 저장
echo 'kernel.unprivileged_userns_clone=0' | sudo tee -a /etc/sysctl.d/99-disable-userns.conf

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템의 커널 버전이 취약한 상태인지 확인하고, 시스템 로그에서 nftables 관련 비정상적인 활동이나 커널 크래시 흔적을 점검합니다.

bash

# 현재 실행 중인 커널 버전 확인
uname -r

# 시스템 로그(dmesg)에서 Netfilter 관련 Use-After-Free 또는 General Protection Fault 흔적 검색
sudo dmesg | grep -Ei 'use-after-free|general protection fault|nftables|nft_'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 취약점으로 실제 공격에 악용되고 있으므로, 즉시 커널 패치를 적용하거나 비특권 사용자 네임스페이스 생성을 차단하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-2586)은 리눅스 커널의 패킷 필터링 프레임워크인 Netfilter(nftables) 서브시스템에서 발생하는 Use-After-Free(UAF) 취약점입니다. nftables 내에서 특정 nft 객체(object) 또는 표현식(expression)이 다른 nft 테이블(table)에 속한 nft 세트(set)를 참조할 수 있는 설계상 결함이 존재합니다. 이로 인해 참조 대상이 되는 테이블이 먼저 삭제될 때, 해당 테이블에 속한 세트가 해제(free)됨에도 불구하고 다른 테이블의 객체가 여전히 해제된 메모리 영역을 가리키는 댕글링 포인터(Dangling Pointer)가 남아 UAF 상태가 유발됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

로컬 공격자는 비특권 사용자 네임스페이스(User Namespace)를 생성하여 CAP_NET_ADMIN 권한을 획득한 후, 악의적으로 구성된 nftables 규칙을 주입할 수 있습니다. 공격자는 서로 다른 테이블 간에 상호 참조 관계를 가지는 nft 객체와 세트를 생성한 뒤, 참조 대상 세트가 포함된 테이블을 삭제(Delete)하도록 요청합니다. 커널은 테이블을 해제하지만, 이를 참조하던 다른 객체의 포인터는 유효성 검증 없이 그대로 유지됩니다. 이후 공격자가 해제된 메모리 영역을 제어 가능한 데이터로 힙 스프레이(Heap Spraying)하여 덮어쓰고, 댕글링 포인터를 참조하는 시스템 콜을 다시 호출함으로써 커널 컨텍스트에서 임의 코드를 실행(LPE)하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.8(High) 등급으로 평가되었으며, 미 국토안보부 사이버보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용이 확인된 고위험 취약점입니다. 다중 사용자 환경(Shared Hosting), 컨테이너 인프라(Kubernetes, Docker) 등 단일 커널을 공유하는 환경에서 비특권 사용자가 호스트 OS의 루트 권한을 탈취하여 컨테이너 탈옥(Container Escape) 및 전체 인프라 장악으로 이어질 수 있는 심각한 비즈니스 중단 위험을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

It was discovered that a nft object or expression could reference a nft set on a different nft table, leading to a use-after-free once that table was deleted.

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-2586

출처: security@ubuntu.com · Third Party Advisory

https://lore.kernel.org/netfilter-devel/20220809170148.164591-1-cascardo@canonical.com/T/#t

출처: security@ubuntu.com · Mailing List, Patch

https://ubuntu.com/security/notices/USN-5557-1

출처: security@ubuntu.com · Third Party Advisory

https://ubuntu.com/security/notices/USN-5560-1

출처: security@ubuntu.com · Third Party Advisory

https://ubuntu.com/security/notices/USN-5560-2

출처: security@ubuntu.com · Third Party Advisory

https://ubuntu.com/security/notices/USN-5562-1

출처: security@ubuntu.com · Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2022-2586)

FAQ

Q1. CVE-2022-2586 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-2586의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 10.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-2586에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: 리눅스 커널(Linux Kernel) Netfilter 서브시스템 탑재 버전 (Ubuntu 20.04 LTS, 22.04 LTS 등 주요 배포판 커널 포함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 배포판별 최신 보안 패치 커널로 업데이트하고, 즉각적인 패치가 불가능한 경우 비특권 사용자 네임스페이스 생성을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동