CVE-2026-46300: Linux Kernel skb 공유 프래그 마커 보존 결함과 커널 업데이트 점검

CVE-2026-46300은 Linux 커널의 네트워킹 서브시스템에서, 다른 버퍼와 공유 중인 페이지 프래그먼트의 공유 표시(shared-frag marker)가 사라질 수 있는 결함을 다룹니다. 상류 커널은 net: skbuff: preserve shared-frag marker during coalescing 수정으로 이를 해결했고, CISA는 이 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 2026-10-28 등재했습니다. KEV 등재 자체가 실제 악용 확인을 뜻하므로, 배포판 패키지 번호를 기다리는 동안에도 상류 수정 버전 기준으로 보유 커널을 먼저 대조하는 편이 안전합니다.

개요

CVE-2026-46300은 Linux 커널의 소켓 버퍼(skb) 처리 코드에서 출발하는 취약점입니다. Linux CNA(cvelistV5) 기록에 실린 기술 설명은 skb_try_coalesce()가 @from 소켓 버퍼의 페이지 기반 프래그먼트(paged frags)를 @to 버퍼에 붙일 수 있다는 지점을 다룹니다. 이 결합(coalescing) 과정에서 해당 프래그먼트가 다른 skb와 공유되고 있음을 나타내는 shared-frag marker가 보존되지 않는 것이 확인된 원인이며, 상류는 마커를 보존하도록 고쳤습니다. 같은 CNA 기록에는 CVSS 3.1 평가 7.8(HIGH), 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H와 영향 개시 버전 3.9, 상류 stable 수정 버전이 함께 수록되어 있습니다.

CISA KEV 카탈로그에는 CVE-2026-46300, vendorProject: Linux, product: Kernel, 취약점명 "Linux Kernel Missing Initialization of a Variable Vulnerability"로 등록되어 있고 CWE-456(변수 초기화 누락) 계열로 분류되었습니다. 등재일은 2026-10-28, 대응 기한은 2026-10-31입니다. KEV 등재는 관계 기관이 실제 악용을 공식 확인했다는 의미로, 기술 상세 문서가 적더라도 패치 우선순위를 올려야 하는 독립적인 근거가 됩니다.

영향 범위

• CNA 기록상 영향 커널은 3.9부터입니다.
• 상류 stable 수정 버전은 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10입니다.
• CISA KEV 항목 기준으로 대상은 Linux의 Kernel입니다.
• 코드 기준으로는 skb_try_coalesce()를 지나는 네트워크 패스를 쓰는 커널이 잠재적 범위입니다. 병합이 실제로 일어나는 트래픽 조건에서 공유 상태 추적이 깨질 수 있습니다.
• 네트워크 수신 처리와 직결된 경로에서 동작이 깨질 경우, 커널 데이터 구조의 무결성 문제가 시스템 안정성 문제로 번질 수 있습니다.
• 컨테이너와 VM 게스트는 호스트 커널을 함께 보므로, 게스트 이미지만 점검하고 호스트 커널 버전을 빼먹으면 점검이 불완전해집니다.
• 현재 증거에서 확인되지 않는 항목은 배포판별 수정 포함 패키지 번호입니다. 완료 판정은 위 상류 수정 버전을 기준으로 삼고, 실제 적용 여부는 배포판 벤더 보안 공지까지 함께 대조해 확정해야 합니다.

기술적 분석

skb_try_coalesce()는 작은 프래그먼트 버퍼를 재조립해 오버헤드를 줄이는 경로입니다. 이 함수가 @from에서 @to로 paged frags를 붙일 때 shared-frag marker가 그대로 남지 않으면, 커널은 그 페이지 프래그먼트를 더 이상 공유되지 않는 단독 소유로 잘못 판단할 수 있습니다. 서로 다른 skb가 같은 페이지를 보고 있는데 한쪽이 단독 소유로 취급되면, 그 페이지를 수정하거나 회수하는 시점에서 데이터 무결성 문제가 생길 수 있습니다.

원인 분류는 KEV 항목이 가리키는 CWE-456, 즉 변수 초기화 누락 계열로 정리됩니다. 복잡한 로직 버그라기보다 상태 표시를 채우지 않아 커널의 소유권 판단이 실제와 어긋나는 형태입니다. CNA 기록의 CVSS 3.1 평가는 7.8(HIGH)에 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H로, 로컬 접근과 낮은 권한(사용자 상호작용 불필요, 영향 범위 변경 없음)을 기록상 전제로 기밀성·무결성·가용성 모두에 높은 영향을 두었습니다. 따라서 이 결함은 로컬 코드 실행 기회가 있는 환경에서 소유권 판단이 어긋나는 문제로 접근해야 합니다. 다만 이 벡터와 무결성 손상이라는 확인된 결과를 넘어, 원격 코드 실행이나 권한 상승 같은 구체적 결과로 넓혀 해석할 수는 없습니다.

운영상 해석을 조건부로 정리하면 다음과 같습니다. 첫째, KEV 등재 사실과 2026-10-31이라는 대응 기한은 코드 분석 난이도와 무관하게 대응 순위를 올립니다. 둘째, CVSS가 로컬 접근과 권한 필요를 전제로 기록하므로, 비신뢰 로컬 코드가 실행될 기회가 있는지가 이 결함의 실질적인 노출 판단축이 됩니다. 셋째, 무결성 손상 계열은 증상이 크래시, 커널 패닉, 간헐적 데이터 오류처럼 흩어질 수 있어 단일 시그니처 탐지보다 패치 상태 추적이 더 현실적입니다.

탐지 관점에서는 이 취약점 고유의 IOC나 시그니처가 제공되지 않았습니다. 따라서 업데이트 전에는 네트워크 수신 처리와 관련된 비정상 크래시·오동작 로그와 커널 패닉 로그를 살피고, 적용 후에는 자산 기준으로 패치 상태를 집계하는 방식이 현재 근거에 맞는 점검법입니다. 공개 PoC나 독립 기술 분석 보고서는 확인되지 않았으므로, 실제 익스플로잇 코드와 공격 경로 세부는 근거 부족으로 두고 벤더 권고를 기준으로 삼아야 합니다.

대응 방안

가장 먼저 할 일은 전체 Linux 배포판에서 CVE-2026-46300 수정 여부를 확인하고, 상류 수정 버전(5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, 7.0.10) 이상이거나 이를 포함했다고 공지된 커널 패키지로 교체하는 것입니다. KEV 대응 기한이 2026-10-31로 이미 지나갔으므로, 미적용 자산은 평시 변경 관리 주기가 아니라 지연 항목으로 취급해 빠른 창에 처리해야 합니다.

우선순위는 KEV 등재 사실과 CNA 기록의 CVSS 평가 범위에만 기대 정합니다.

• 로컬 접근과 낮은 권한이 전제로 기록된 만큼, 비신뢰 로컬 코드가 돌아갈 수 있는 공유 호스트·멀티테넌트 환경을 먼저 올립니다. 외부 네트워크 노출 자체를 이 취약점의 우선순위 근거로 삼지는 않습니다.
• 호스트 커널을 공유하는 컨테이너·VM 환경은 호스트 커널 업데이트를 게스트 점검과 별도 항목으로 관리합니다.
• 재부팅이 필요한 커널 변경은 계획된 유지보수 창에 반영하고, 창이 늦어지는 자산은 지연 사유와 예상 완료 시점을 패치 대장에 남깁니다.

안정적인 교정으로는 배포판 벤더가 제공하는 수정 커널 패키지로의 업데이트, 커널 패치 주기의 정기화, KEV 모니터링을 패치 우선순위 판정에 지속 반영하는 방식이 있습니다. 현재 증거에서 확인되지 않는 항목은 KEV 항목의 악용 설명과 시나리오 상세, 그리고 배포판별 수정 포함 패키지 번호입니다. 버전 판정은 위 상류 수정 버전과 배포판 벤더 보안 공지를 함께 대조해 확정하고, 악용 방식의 세부 조건은 공개 자료로 입증되지 않았다는 한계로 두는 것이 현재 근거에 맞습니다.

참고자료

• CVE-2026-46300: net: skbuff: preserve shared-frag marker during coalescing
• CISA Known Exploited Vulnerabilities Catalog - CVE-2026-46300

함께 읽으면 좋은 글

• CVE-2026-111357: Ivanti Connect Secure 핵심 기능 인증 누락과 권한 상승 체인 점검
• CVE-2026-114437: go-chi ClientIPFromXFF의 X-Forwarded-For 기반 클라이언트 IP 스푸핑 점검
• CVE-2026-118527: Ivanti Connect Secure 예측 가능한 식별자와 파일 업로드 체인 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.