Ubuntu kernel CVE-2026-98432 (CVSS 9.8): no fixed kernel yet for 22.04 / 24.04 / 26.04. What are you doing in the meantime?
Ubuntu 22.04·24.04·26.04 커널 수정 중, Red Hat은 임시 필터 제시
Ubuntu는 10월 30일 기준 22.04, 24.04, 26.04의 표준 커널 패키지를 취약·수정 작업 중으로 표시했습니다. Red Hat이 안내한 임시 nftables 규칙은 IP 옵션이 든 IPv4 TCP 패킷을 차단해 노출을 줄이지만 완전한 해결책은 커널 업데이트입니다. MPTCP를 끄면 Anthropic의 공개 PoC 경로는 줄일 수 있어도 취약점 전체가 해결되지는 않습니다.
- 주제
본문
Ubuntu 보안 트래커는 2026년 10월 30일 갱신 기준으로 Ubuntu 22.04, 24.04, 26.04의 표준 linux 커널 패키지를 취약 상태이자 수정 작업 중으로 표시합니다. Vulnerable work in progress는 해당 패키지가 취약하고 Ubuntu 보안팀이 수정 중이라는 뜻입니다. Ubuntu 자체 우선순위는 High이고 CVSS 3 점수는 9.8 Critical입니다. 두 표기는 서로 다른 평가 체계입니다. 수정 패키지가 제공되기 전까지 일반 업데이트만으로 이 취약점이 해결됐다고 볼 수는 없습니다. 그 사이 Red Hat은 노출을 줄이는 nftables 규칙을 임시 대책으로 안내했습니다.
CVE-2026-98432는 Linux 커널의 IPv4 TCP 처리 과정에서 발생하는 use-after-free 취약점입니다. TCP 연결 요청의 옵션 포인터를 자식 소켓으로 복사하지 않고 넘긴 뒤, 다른 CPU가 재전송된 SYN에 응답하는 동안 자식 소켓이 해제될 수 있습니다. 커널은 옵션을 아직 읽는 코드가 있는데도 일반 kfree()로 메모리를 해제해 문제가 생깁니다. 요청 소켓을 마이그레이션할 때도 복제본과 원본이 옵션 포인터를 공유해 비슷한 상황이 발생합니다. 커널 수정은 두 해제 경로에서 kfree_rcu()를 사용해 RCU 독자가 읽기를 마칠 때까지 메모리 해제를 미룹니다.
Red Hat은 취약한 커널에서 IPv4 TCP가 활성화된 시스템이 영향을 받으며, 들어오는 TCP 연결을 받는 시스템이 직접 노출된다고 설명합니다. Anthropic은 10월 27일 공개한 연구용 PoC가 MPTCP 리스너에 원격 패킷을 보내 인증이나 사용자 조작 없이 root 권한으로 명령을 실행했다고 밝혔습니다. 이 PoC에서는 커널 포인터를 알아내는 데 48분, 명령 실행까지 추가로 5분이 걸렸습니다. MPTCP 리스너는 공개된 PoC의 진입 조건이지만 취약점 자체는 IPv4 TCP 범위에 있습니다. 따라서 MPTCP 기본 동작을 끄면 시연된 경로를 줄일 수는 있어도 취약점 전체를 해결하지는 못합니다.
Go 1.24는 multipathtcp=2를 기본값으로 도입해 리스너에서 MPTCP를 기본 활성화합니다. 실제 프로그램의 기본값은 go.mod에 선언한 Go 버전과 명시적인 GODEBUG 설정에도 영향을 받습니다. GODEBUG=multipathtcp=0은 Go의 기본 동작에서 리스너와 다이얼러의 MPTCP 활성화를 끕니다.
Red Hat이 제시한 nftables 규칙은 입력 체인에서 ip protocol tcp ip hdrlength > 5 counter drop 조건으로 패킷을 버립니다. IPv4 헤더에 옵션이 들어간 TCP 패킷을 대상으로 하며 TCP 헤더의 일반 옵션은 이 조건에 해당하지 않아 계속 허용됩니다. Red Hat은 이 규칙이 노출을 줄일 뿐 완전히 막지는 못하고, 필요한 트래픽에 영향을 줄 수 있다고 밝혔습니다. 비운영 환경에서 시험한 뒤 적용하라는 권고도 함께 냈습니다. 완전한 해결은 수정된 커널을 적용하는 것이며, 적용 후 임시 규칙은 sudo nft delete table inet cve_2026_98432로 제거할 수 있습니다.
자료: Ubuntu, Red Hat, Anthropic / 정리·해설: Trawling
참고 자료
- RHSB-2026-016 Use-after-free - kernel IPv4 (CVE-2026-98432) | Red Hat Customer Portal — https://access.redhat.com/security/vulnerabilities/RHSB-2026-016
- Discovering and exploiting vulnerabilities in critical, real-world software with Claude \ Anthropic — https://www.anthropic.com/research/discovering-vulnerabilities-with-claude
- About CVEs | Ubuntu — https://ubuntu.com/security/cves/about
- NVD-CVE-2026-98432 — https://nvd.nist.gov/vuln/detail/cve-2026-98432
- Go, Backwards Compatibility, and GODEBUG - The Go Programming Language — https://go.dev/doc/godebug