Linux 커널 skbuff 공유 프래그먼트 마커 누락으로 인한 메모리 손상 취약점 (CVE-2026-46300)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTLinux 커널의 네트워크 스택(skbuff)을 사용하는 모든 시스템 및 IPsec(ESP) 환경
로컬 공격자가 네트워크 패킷 병합 과정을 악용하여 커널 메모리(페이지 캐시 등)를 임의로 덮어쓰고 시스템 권한을 획득할 수 있음
사용 중인 배포판의 최신 커널 보안 패치를 즉시 적용하고 시스템을 재부팅하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND가장 확실한 해결책은 패치가 포함된 최신 커널로 업데이트하는 것입니다. 각 배포판별 업데이트 명령어는 다음과 같습니다.
# Ubuntu/Debian 계열
sudo apt update && sudo apt upgrade linux-image-generic
# RHEL/CentOS/Fedora 계열
sudo dnf update kernel
# 시스템 재부팅 필수
sudo reboot패치 적용 여부는 uname -r 명령어로 커널 버전을 확인하고 배포판의 보안 공고와 대조하십시오.
패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 Linux 커널의 net/core/skbuff.c 내 skb_try_coalesce() 함수에서 발생합니다. 소켓 버퍼(skb)를 병합하는 과정에서 데이터가 외부 소유이거나 페이지 캐시 기반임을 나타내는 SKBFL_SHARED_FRAG 마커가 유실되는 결함이 발견되었습니다. 이 마커는 IPsec의 ESP(Encapsulating Security Payload) 모듈이 데이터를 제자리에서 복호화(In-place decryption)할지, 아니면 안전하게 복사(Copy-on-Write)할지 결정하는 핵심 지표로 사용됩니다. 마커가 누락되면 ESP 모듈은 공유된 프래그먼트를 안전한 것으로 오판하여 페이지 캐시에 직접 복호화된 데이터를 기록하게 되며, 이는 의도치 않은 메모리 오염(CWE-787) 및 시스템 무결성 파괴로 이어집니다. CISA KEV에 등재된 만큼 실제 공격에 악용될 가능성이 매우 높습니다.
공식 보안 권고문 및 참조 링크
In the Linux kernel, the following vulnerability has been resolved: net: skbuff: preserve shared-frag marker during coalescing skb_try_coalesce() can attach paged frags from @from to @to. If @from has SKBFL_SHARED_FRAG set, the resulting @to skb can contain the same externally-owned or page-cache-backed frags, but the shared-frag marker is currently lost. That breaks the invariant relied on by later in-place writers. In particular, ESP input checks skb_has_shared_frag() before deciding whether an uncloned nonlinear skb can skip skb_cow_data(). If TCP receive coalescing has moved shared frags into an unmarked skb, ESP can see skb_has_shared_frag() as false and decrypt in place over page-cache backed frags. Propagate SKBFL_SHARED_FRAG when skb_try_coalesce() transfers paged frags. The tailroom copy path does not need the marker because it copies bytes into @to's linear data rather than transferring frag descriptors.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.