Red Hat Automatic Bug Reporting Tool(ABRT)의 abrt-hook-ccpp help 프로그램에서 확인된 symlink 취약점 CVE-2015-5287은, ABRT가 설치된 RHEL 7 서버의 로컬 권한 상승 공격 표면으로 이해할 수 있습니다. 일정 권한을 가진 로컬 사용자가 예측 가능한 이름의 파일을 대상으로 symlink 공격을 수행해 권한을 상승시킬 수 있으며, RHEL 7.0/7.1 대상 공개 PoC와 CISA KEV 등재 기록이 함께 확인된 상태입니다.
개요
CVE-2015-5287은 ABRT 2.7.1 이전 버전의 abrt-hook-ccpp help 프로그램에 존재하는 symlink 취약점입니다. CVE 기록은 특정 권한을 가진 로컬 사용자가 예측 가능한 이름의 파일을 대상으로 symlink 공격을 수행해 권한을 상승시킬 수 있다고 기술합니다.
- 대상 프로그램: ABRT 2.7.1 이전(abrt-hook-ccpp help)
- 취약점 유형: symlink 공격 기반 로컬 권한 상승
- 활용 흔적: Exploit-DB 38832 공개 PoC(rebel, 09/2015 작성)
- 대응 신호: CISA KEV 등재(KEV 카탈로그에 등재된 항목으로 확인)
CISA Known Exploited Vulnerabilities 카탈로그에는 CVE-2015-5287이 Red Hat Automatic Bug Reporting Tool의 Privilege Escalation Vulnerability로 등재되어 있는 것으로 확인됩니다. KEV 등재 사실은 연방 기관 대상 우선 대응 항목으로 분류되는 근거가 되며, 운영 환경에서도 패치 우선순위 판단의 기준이 됩니다. 다만 KEV 등재의 정확한 날짜는 현재 확인된 증거에서 직접적으로 확정되지 않아, 본문에서는 등재 여부와 그 의미를 중심으로 설명합니다.
영향 범위
현재 증거에서 직접 확인되는 영향 범위는 다음과 같습니다.
- ABRT 2.7.1 이전 버전의 abrt-hook-ccpp help 프로그램
- RHEL 7.0/7.1 환경(PoC가 명시하는 대상)
- abrt-2.1.11-35.el7 SRPM을 설치 대상으로 다루는 RHSA-2015:2505가 언급되는 RHEL 7 환경
영향 범위는 ABRT가 실제로 설치되고, 로컬 사용자가 ABRT가 사용하는 일시 디렉터리에 접근할 수 있는 환경에서 의미가 커집니다. ABRT를 사용하지 않는 시스템이거나 관련 기능이 비활성화된 시스템은 공격 표면이 상대적으로 작을 수 있습니다. 이러한 조건에 해당하는지 여부는 운영 환경의 설치 현황과 계정 접근 권한을 기준으로 판단할 수 있습니다.
한편, RHEL 7.2 이상 또는 el6/el8 계열까지의 적용 범위는 현재 증거 뭉치에서 명시되지 않아, 해당 플랫폼으로의 확장 주장을 하지 않습니다.
기술적 분석
취약점 작동 방식
취약점의 핵심은 특정 권한을 가진 로컬 사용자가 예측 가능한 이름의 파일을 대상으로 symlink 공격을 수행해 권한을 상승시킬 수 있다는 것입니다. CVE 기록이 직접 확인하는 범위는 이 공격 경로와 그 결과이며, 어떤 파일을 생성하거나 어떤 경로가 symlink로 대체되는지, abrt-hook-ccpp help 프로그램이 그 경로를 어떻게 처리하는지 같은 세부 조건은 현재 인용된 증거에서 직접 확인되지 않습니다. 따라서 본문은 증거가 확인하는 범위만으로 설명합니다.
CWE-59 분류가 CVE 기록에서 언급되고 있으나, CWE-59의 정확한 명칭 표기와 CVSS 3.1 세부 메트릭 구성은 현재 인용 본문에서 직접 확인되지 않아, 본문에서는 수치나 세부 코드를 확정적으로 기술하지 않습니다. 이 부분은 근거가 충분하지 않은 영역으로, 후속 검토에서 원문을 확인해 보완할 필요가 있습니다.
공개 PoC·익스플로잇 분석
Exploit-DB 38832의 PoC는 RHEL 7.0/7.1 대상 'abrt/sosreport' 로컬 root 권한 상승을 다루며, rebel이 09/2015에 작성한 것으로 확인됩니다. 인용된 실행 로그에 따르면, PoC는 sosreport 시나리오에서 크래시 처리 중 생성되는 dump 디렉터리(예: /var/tmp/abrt/ccpp-2015-11-3)를 대상으로 작동하는 모습이 보입니다.
- 출처: Exploit-DB 38832(rebel, 09/2015)
- 전제조건: RHEL 7.0/7.1 환경, ABRT/sosreport가 크래시 처리 중 dump 디렉터리 생성 동작 수행, 공격자가 해당 디렉터리 구조에 symlink를 배치할 수 있는 로컬 권한 보유
- 입증 범위: 인용된 로그 범위에서 sosreport 시나리오의 dump 디렉터리를 대상으로 한 작동 확인. 인용된 PoC 코드 상단에는 'CVE-2015-5287 (?)'라는 표기가 있어, PoC 작성자가 이 취약점과의 직접적 연결을 단정하지 않는 태도를 보이고 있음
- 운영상 의미: ABRT와 sosreport가 함께 활성화된 RHEL 7 환경에서, dump 디렉터리 구조와 symlink 처리 경로가 공격자에게 예측 가능하게 노출될 수 있다는 점을 점검해야 함
oss-security 메일링 리스트(20151201)의 제목에는 CVE-2015-5273과 CVE-2015-5287가 함께 언급되며, abrt local root 취약점이 Centos/Fedora/RHEL에 걸쳐 공유된 기록이라는 제목이 붙어 있습니다. 이 제목은 여러 배포판 이름이 함께 표시된다는 사실만 보여주며, 본 증거에서는 각 배포판에 대한 영향 범위나 세부 동작이 개별적으로 확정되지 않습니다.
대응 방안
우선 점검 대상
CISA KEV 등재 취약점이라는 점을 반영해, RHEL 7 계열 시스템에서 다음 항목을 우선 점검합니다.
- abrt 패키지가 설치된지 여부 및 abrt 버전(2.1.x 계열) 확인
- /var/tmp/abrt/ 등 ABRT가 사용하는 일시 디렉터리의 접근 권한과 예측 가능한 이름의 파일 생성 동작 확인
이 점검은 ABRT가 실제로 설치되어 있고, 로컬 사용자가 ABRT 일시 디렉터리에 접근할 수 있는 환경에서 특히 중요합니다. ABRT를 사용하지 않는 시스템은 공격 표면이 작으므로, 점검 우선순위는 시스템별 ABRT 사용 현황과 로컬 계정 접근 권한에 따라 달라질 수 있습니다.
패치 및 서비스 관리
Red Hat에서 배포한 보안 자문 RHSA-2015:2505는 RHEL 7 Server 대상의 abrt-2.1.11-35.el7 SRPM을 목록에 포함하고 있습니다. 이 자문이 CVE-2015-5287을 수정하는지, 해당 패키지가 수정 버전인지는 제공된 인용에서 확인되지 않아, 두 것 사이의 수정 관계를 본문에서 확정하지 않습니다.
- 서비스 비활성화: ABRT를 실제로 사용하지 않는 시스템에서는 패키지 제거 또는 관련 기능 비활성화로 공격 표면 축소
- 변경 관리: KEV 등재 취약점이라는 점을 반영해 패치 대상 목록에 상위로 반영하되, 운영 환경의 변경 관리 스케줄 내에서 우선 검토
- 패치 목표 확인: RHSA-2015:2505 이후 추가된 Red Hat 보안 자문에서 CVE-2015-5287이 최종적으로 수정된 abrt 버전에 대한 정보는 현재 증거에서 확인되지 않아, 업그레이드 목표 버전을 확정적으로 안내하지 않습니다. 실제 적용 시에는 Red Hat 최신 자문과 패치 이력을 함께 확인하는 것이 좋습니다.
참고자료
- CVE-2015-5287 - ABRT symlink privilege escalation
- RHSA-2015:2505 - Security Advisory (abrt 2.1.11-35.el7)
- RHEL 7.0/7.1 - 'abrt/sosreport' Local Privilege Escalation (38832)
- Known Exploited Vulnerabilities Catalog - CVE-2015-5287
함께 읽으면 좋은 글
- HAR와 소스맵으로 웹 애플리케이션 공격면을 점검하는 실전 가이드
- CVE-2026-77550: UniFi OS 인증 우회 취약점, 공식 권고 확인과 네트워크 접근 점검이 먼저
- 모바일 앱 XML 구성 파일 보안 점검: 하드코딩 비밀정보부터 권한·검증까지
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!