Linux 커널의 패킷 병합 경로에서 메모리 공유 여부를 알리는 표시가 누락되는 결함이 커널 업데이트로 해결됐다. 이 글은 확인된 수정 내용과 배포사 영향 평가를 근거로, 무엇이 확정되고 무엇이 아직 확인 대상인지 그 경계를 짚는다. CISA KEV 등재 여부는 제공된 근거 자료에서 확인되지 않아, 악용 긴급도의 근거로 사용하지 않는다.
개요
CVE-2026-46300은 Linux 커널 네트워크 스택의 socket buffer(skb) 처리 결함이다. 업스트림 수정 설명에 따르면, 패킷을 병합(coalescing)할 때 호출되는 skb_try_coalesce()가 한 skb(@from)의 페이징된 프래그먼트(paged frags)를 대상 skb(@to)에 이어 붙이면서, 그 프래그먼트가 다른 skb와 공유되고 있음을 나타내는 shared-frag marker를 보존하지 않았다.
공유 여부가 잘못 표시되면 커널은 실제로는 공유 중인 메모리를 독점 소유인 것처럼 취급할 수 있고, 후속 쓰기 경로에서 예상치 못한 메모리 무결성 문제로 이어질 수 있다.
배포사 평가는 다른 축을 더한다. Red Hat은 이 CVE를 XFRM ESP-in-TCP 서브시스템의 결함으로 설명하며, 안전하지 않은 제자리(in-place) 암호화 처리로 저권한 로컬 공격자가 읽기 전용 파일, 민감한 시스템 파일을 포함한 페이지 캐시에 임의 바이트를 기록할 수 있다고 밝혔다.
두 서술은 각각 업스트림의 수정 지점과 배포사 관점의 영향·경로를 서로 다른 추상 수준에서 기술하고 있다. 이 글은 둘을 하나로 합치지 않고 병렬로 제시하며, 통합된 악용 경로는 확인되지 않은 한계로 남긴다.
영향 범위
- Linux 커널의 skb 병합 경로(
skb_try_coalesce)를 사용하는 커널 버전. 단, 정확한 취약·수정 버전 범위는 제공된 근거에 없다. - XFRM ESP-in-TCP 관련 설정이나 환경이 존재하는 시스템. 배포사 영향 평가에 근거하며 세부 조건은 확인되지 않았다.
핵심은 공격 성립의 전제다. 확인된 영향 평가는 공격자에게 로컬의 저권한 접근을 요구한다. 따라서 이 전제는 원격 트래픽만으로 완결되는 유형과 같은 축으로 비교될 성질이 아니며, 반대로 로컬 접근이 허용되는 환경에서는 전제의 문턱이 낮아질 수 있다. 판단의 무게추는 영향 쪽에 있다. 제공된 Red Hat 인용이 뒷받침하는 핵심 영향은, 저권한 로컬 공격자가 읽기 전용 파일, 민감한 시스템 파일을 포함한 페이지 캐시에 임의 바이트를 기록할 수 있다는 점이다.
이 글은 특정 인프라 유형을 취약 범위로 특정하지 않는다. 확인된 전제는 로컬 저권한 접근이라는 점까지이고, 어떤 구성에서 그 전제가 실제로 성립하는지는 각 시스템의 배포판 공지와 구성 확인이 필요하다.
기술적 분석
커널은 패킷을 병합할 때 skb_try_coalesce()를 사용해 한 skb의 페이징된 프래그먼트를 대상 skb로 이어 붙인다. 이 과정에서 shared-frag marker가 옮겨지지 않으면, 병합 결과물은 실제 공유 상태와 다른 플래그를 갖게 된다.
제공된 업스트림 인용은 skb_try_coalesce()가 @from의 페이징된 프래그먼트를 @to에 붙일 수 있다는 수정 지점까지만 명시한다. 따라서 이 글은 shared-frag marker가 보존되지 않는 지점까지를 확정된 결함으로 두고, 그로 인해 조건에 따라 메모리 내용이 의도와 다르게 변조되는 경로가 성립할 수 있다는 수준까지만 조건부로 다룬다. 실제 영향의 범위는 배포사가 명시한 대로, 저권한 로컬 공격자가 읽기 전용 파일의 페이지 캐시에 임의 바이트를 기록할 수 있다는 평가의 틀 안에서 이해한다.
여기서 배포사 서술과 만나지 않는 지점이 남는다. XFRM ESP-in-TCP 경로에서 제자리 암호화 처리와 패킷 병합이 어떤 순서로 얽히는지, 특정 프로토콜을 경유해야 하는지 등의 전제 조건은 제공된 근거에 명시되어 있지 않다. 따라서 메커니즘은 공유 프래그 마커 미보존까지로 확정하고, 구체적인 악용 트리거 경로는 확인 대상으로 남긴다.
악용 현황에 대해 제공된 근거 기준으로 실제 악용 사례, 공개 PoC, CISA KEV 등재는 모두 확인되지 않았다. 따라서 현재 상태는 실전 악용 확인이 아니라 수정 패치는 존재하되 악용 증거는 미확인이다. 배포사 인용이 로컬 저권한 접근을 전제로 페이지 캐시 기록 가능성을 명시한다는 사실과, 악용 증거가 확인되지 않았다는 사실은 별개의 근거이며 이 글은 둘을 합쳐 악용 가능성을 확정하지 않는다.
확인된 사실이 운영 관점에 주는 의미는 조건부로 정리할 수 있다. 악용 증거가 확인되지 않은 현 시점에서는 배포판별 수정 패키지 적용 여부를 확인하는 것이 점검의 대상이 되고, 실전 악용·공개 PoC·KEV 등재 중 하나가 실제로 확인되는 시점에는 점검의 성격이 달라진다. 이 글은 그 전제 확인 없이 긴급도를 조정하지는 않는다.
대응 방안
지금 확인할 것
- 운영 중인 Linux 커널 버전을 조사하고, 각 배포판의 CVE-2026-46300 수정 패키지 적용 여부를 점검한다. 정확한 수정 커널 번호와 패키지 고유 식별자는 제공된 근거에 없으므로, 각 배포판 보안 공지에서 확인해 반영한다.
- 확인된 영향 평가가 로컬 저권한 접근을 전제로 하므로, 저권한 로컬 사용자가 있거나 신뢰할 수 없는 로컬 프로세스가 실행될 수 있는 시스템이 점검의 출발점이 된다. 이 순서는 배포사 영향 평가에 근거한 것이며, 개별 환경의 노출 정도는 배포판 공지와 자체 구성 확인으로 확정해야 한다.
- 이 취약점 특유의 검증된 완화 설정이나 회피 수단은 제공된 근거에 없다. 따라서 대응의 기본은 배포판이 공지한 수정 패키지 적용 여부를 확인하는 것이며, 근거 없는 설정 변경을 대안으로 제시하지 않는다.
검증되지 않은 항목
- 구체적인 로그 시그니처, IOC, 탐지 쿼리는 제공된 근거에 없어 검증된 탐지 지침을 제시하지 않는다. 이는 탐지 방법에 대한 확인된 지침이 이 근거 자료에 담겨 있지 않다는 뜻이며, 근거 자료의 범위를 안전성의 근거로 쓰지는 않는다.
- 재부팅 절차, 롤백 방식, 상시 감시 체계 같은 운영 절차에 대한 근거도 제공되지 않았다. 커널 교체와 관련된 운영 방식은 각 조직의 변경 관리 기준과 배포판 공지 절차를 따른다.
정리하면, 제공된 근거에서는 실전 악용 사례·공개 PoC·CISA KEV 등재가 모두 확인되지 않았고, 현재 확인이 필요한 지점은 배포판별 CVE-2026-46300 수정 패키지 적용 여부다. KEV 등재 여부, CVSS 점수, 정확한 취약·수정 버전 범위, 배포사 서술과 업스트림 서술의 통합 기술 설명은 현 단계 근거로 확정할 수 없으므로, 배포판 공지가 확인되는 대로 점검 범위를 다시 좁히는 것이 필요하다.
참고자료
- CVE-2026-46300: net: skbuff: preserve shared-frag marker during coalescing
- CVE-2026-46300 security vulnerability impact statement
- CVE-2026-46300 Debian tracker (references)
함께 읽으면 좋은 글
- CVE-2026-91153: WordPress Everest Forms(AI 폼 빌더) 민감정보 노출 점검
- CVE-2026-118546: Drupal AI 모듈 XSS(SA-CONTRIB-2026-267) 점검
- CVE-2026-116535: 워드프레스 SEOPress 저장형 XSS, CVSS 6.4와 10.3 이하 범위
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!