AlmaLinux, CVE-2026-98432 수정 커널을 테스트 저장소에 공개
AlmaLinux가 CVE-2026-98432 수정 커널을 8·9·10 테스트 저장소에 올리고 커뮤니티 검증을 요청했습니다. 수정 커널을 설치한 뒤 재부팅하기 전에는 IPv4 옵션이 붙은 수신 TCP 패킷을 nftables로 임시 차단할 수 있습니다. 이 규칙은 재부팅 후 사라지며 CIPSO/NetLabel 환경에는 맞지 않습니다.
본문
AlmaLinux 리드 아키텍트 Andrew Lukoshko는 10월 30일 공식 블로그에서 CVE-2026-98432 수정 커널을 AlmaLinux 8·9·10 테스트 저장소에 올렸다고 밝혔습니다. AlmaLinux 코어팀이 업스트림 수정사항을 각 지원 계열에 백포트했고, 기술운영위원회 ALESCo는 CentOS Stream·RHEL 업데이트보다 먼저 배포하기로 결정했습니다. 11월 2일 열람한 게시물은 여전히 테스트 저장소에서 커뮤니티 검증을 요청하고 있으며, 운영 저장소 전환 소식은 담지 않았습니다.
게시물이 안내한 커널 버전은 AlmaLinux 8의 4.18.0-553.180.2.el8_10, 9의 5.14.0-687.61.2.el9_8, 10의 6.12.0-211.69.2.el10_2입니다. 테스트 저장소를 활성화해 해당 커널을 설치한 뒤 재부팅해야 수정이 적용됩니다. AlmaLinux는 재부팅 후 운영 서버에서 테스트 저장소를 비활성화하는 절차도 안내했습니다.
커널을 바로 재부팅하기 어렵다면 AlmaLinux는 임시 nftables 규칙으로 취약점 유발 패킷을 차단하는 방법을 제시했습니다. 결함은 IPv4 옵션을 담은 TCP 연결 요청으로 촉발되므로, 규칙은 IPv4 헤더 길이가 기본값 5보다 큰 수신 TCP 패킷을 버립니다. AlmaLinux는 이 규칙을 8·9·10에서 시험했으며 일반 연결은 계속 동작했다고 밝혔습니다. firewalld와 함께 쓸 수 있고 반복 실행해도 안전하다고 설명했습니다.
이 규칙은 재부팅하면 사라집니다. 호스트를 통과하는 기본 Podman·Docker 컨테이너 트래픽에는 적용되지만 같은 호스트의 컨테이너끼리 주고받는 트래픽은 우회할 수 있습니다. 다른 장비의 트래픽을 전달하는 시스템에서는 해당 IPv4 옵션이 붙은 전달 패킷도 차단합니다. CIPSO/NetLabel 보안 레이블을 IPv4 옵션으로 쓰는 환경에는 이 규칙을 쓰지 말라고 AlmaLinux는 안내했습니다. IPv6 트래픽에는 이 규칙이 필요하지 않습니다.
AlmaLinux에서 MPTCP는 기본적으로 꺼져 있습니다. MPTCP를 끄면 공개된 익스플로잇의 설정을 막을 수 있지만, 새 MPTCP 소켓 생성만 중단되므로 이미 열린 리스너는 해당 서비스를 재시작할 때까지 남을 수 있습니다. 취약점은 일반 IPv4 TCP 코드에 있으므로 MPTCP 설정과 별개로 수정 커널을 적용해야 합니다.
자료: AlmaLinux 공식 블로그 / 정리·해설: Trawling