리눅스 커널 네트워크 서브시스템 Use-After-Free 취약점 (CVE-2024-36971) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT리눅스 커널(Linux Kernel)의 네트워크 서브시스템을 사용하는 시스템 및 UDP 소켓 기반 애플리케이션
로컬 공격자가 RCU 동기화 레이스 컨디션을 악용하여 Use-After-Free(UAF)를 유발하고, 커널 권한으로 임의 코드를 실행하거나 시스템을 완전한 서비스 거부(DoS) 상태로 전환 가능
영향받는 리눅스 커널 버전을 최신 안정화 패치 버전으로 즉시 업그레이드하고 시스템 재부팅 수행
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
운영체제 배포판별 패키지 관리자를 사용하여 커널을 최신 버전으로 업데이트하고 시스템을 재부팅합니다.
# Ubuntu / Debian 계열 시스템 업데이트
sudo apt-get update && sudo apt-get install --only-upgrade -y linux-image-generic
# RedHat / Rocky Linux / AlmaLinux 계열 시스템 업데이트
sudo dnf upgrade -y kernel
# 업데이트 적용을 위한 시스템 재부팅
sudo reboot2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 재부팅이 어려운 프로덕션 환경에서는 로컬 비인가 사용자의 소켓 생성 및 네트워크 조작 권한을 제한하여 공격 표면을 최소화합니다.
# 비인가 사용자의 로컬 네임스페이스 및 소켓 생성 제한 (sysctl 설정)
sudo sysctl -w user.max_user_namespaces=0
# 로컬 사용자의 네트워크 진단 및 모니터링 도구 실행 권한 제한
sudo chmod 700 /usr/bin/asf /usr/bin/nc /usr/bin/socat 2>/dev/null || true3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
현재 실행 중인 커널 버전을 확인하고, 시스템 로그에서 네트워크 소켓 관련 커널 패닉(Null Pointer Dereference 또는 General Protection Fault) 흔적을 검사합니다.
# 현재 실행 중인 커널 버전 확인
uname -r
# 커널 링 버퍼 및 시스템 로그에서 UAF/패닉 관련 흔적 검색
sudo dmesg -T | grep -Ei 'use-after-free|general protection fault|unable to handle kernel|dst_release'
sudo journalctl -k --since '1 day ago' | grep -Ei 'dst_negative_advice|sk_dst_cache'패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2024-36971)은 리눅스 커널의 네트워크 라우팅 캐시 관리 함수인 __dst_negative_advice()에서 발생하는 Use-After-Free(UAF) 취약점입니다. 네트워크 소켓의 목적지 캐시(sk->sk_dst_cache)를 정리하는 과정에서 RCU(Read-Copy Update) 규칙을 올바르게 준수하지 않아 발생합니다. 안전한 RCU 프로토콜에 따르면 먼저 소켓의 캐시 포인터를 NULL로 초기화(sk_dst_reset)하여 참조를 끊은 후 기존 목적지 객체를 해제(dst_release)해야 합니다. 그러나 기존의 __dst_negative_advice() 함수는 이 순서를 반대로 수행하여, 이미 해제된 메모리 영역을 다른 프로세스나 스레드가 여전히 참조할 수 있는 경쟁 상태(Race Condition)를 유발했습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 로컬 시스템에서 UDP 소켓을 생성하고 다중 스레드 환경에서 네트워크 패킷 송수신과 라우팅 상태 변경을 동시에 유도합니다. __dst_negative_advice()가 호출되는 과정에서 목적지 캐시 객체가 해제(dst_release)된 직후, RCU 유예 기간(Grace Period)이 끝나기 전에 다른 CPU 코어에서 해당 소켓의 캐시를 참조하려고 시도합니다. 이 시점에 공격자는 커널 메모리 레이아웃을 조작(Heap Spraying 등)하여 해제된 영역에 악의적인 페이로드를 배치함으로써, 커널이 유효하지 않은 포인터를 역참조하게 만듭니다. 이는 최종적으로 커널 패닉을 유발하거나 커널 권한(Ring 0)에서의 임의 코드 실행으로 이어질 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 실제 야생(In-the-Wild)에서 악용된 사례가 확인된 고위험군 취약점입니다. 로컬 권한을 가진 공격자가 컨테이너 환경이나 다중 사용자 서버에서 호스트 OS 커널을 장악하여 컨테이너 탈옥(Container Escape)을 수행하거나, 민감한 비즈니스 데이터를 탈취하고 인프라 전체를 마비시킬 수 있습니다. 특히 대규모 트래픽을 처리하는 UDP 기반 서비스(DNS, 미디어 스트리밍, 게임 서버 등) 환경에서 악용될 위험성이 매우 높습니다.
공식 보안 권고문 및 참조 링크
In the Linux kernel, the following vulnerability has been resolved: net: fix __dst_negative_advice() race __dst_negative_advice() does not enforce proper RCU rules when sk->dst_cache must be cleared, leading to possible UAF. RCU rules are that we must first clear sk->sk_dst_cache, then call dst_release(old_dst). Note that sk_dst_reset(sk) is implementing this protocol correctly, while __dst_negative_advice() uses the wrong order. Given that ip6_negative_advice() has special logic against RTF_CACHE, this means each of the three ->negative_advice() existing methods must perform the sk_dst_reset() themselves. Note the check against NULL dst is centralized in __dst_negative_advice(), there is no need to duplicate it in various callbacks. Many thanks to Clement Lecigne for tracking this issue. This old bug became visible after the blamed commit, using UDP sockets.
자주 묻는 실무 질문 (FAQ — CVE-2024-36971)
FAQQ1. CVE-2024-36971 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2024-36971의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 2.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2024-36971에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 linux이며, 대상 컴포넌트는 linux_kernel입니다. 상세 영향 범위: 리눅스 커널 6.10 미만 버전 중 패치가 적용되지 않은 커널 버전 (특히 UDP 소켓을 사용하는 환경에서 취약점이 노출됨)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 영향받는 리눅스 커널 버전을 최신 안정화 패치 버전으로 즉시 업그레이드하고 시스템 재부팅 수행 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2024-36971 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (linux)
동일 카테고리 전체 보기 →리눅스 커널 IPv6 소켓 메모리 손상 취약점 (CVE-2026-53362) 분석 및 대응 가이드
[영향 대상] MSG_MORE 및 MSG_SPLICE_PAGES 플래그를 사용하는 UDPv6 소켓 통신 환경의 리눅스 커널 시스템
Linux 커널 algif_aead 제자리(In-place) 연산 오류로 인한 로컬 권한 상승 및 메모리 손상 취약점 (CVE-2026-31431)
[영향 대상] Linux 커널의 암호화 서브시스템(Crypto API) 내 `algif_aead` 모듈을 사용하는 시스템.
Linux 커널 Netfilter Bridge ebt_snat ARP 재작성 취약점 (CVE-2026-53266) 보안 권고
[영향 대상] Linux 커널의 ebtables SNAT 기능을 사용하는 브리지 네트워크 환경
Linux 커널 skbuff 공유 프래그먼트 마커 누락으로 인한 메모리 손상 취약점 (CVE-2026-46300)
[영향 대상] Linux 커널의 네트워크 스택(skbuff)을 사용하는 모든 시스템 및 IPsec(ESP) 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.