Linux 커널 취약점은 배포판에 사전 알림이 가지 않는다

• Linux 커널의 로컬 권한 상승 취약점인 CopyFail은 최근 커널의 “make-me-root” 취약점 중 가장 심각한 축에 듦
• 문제는 4.14의 commit 72548b093ee38a6d4f2a19e6ef1948ae05c181f7에서 도입됐고, 6.18.22, 6.19.12, 7.0에서 수정됨
• 6.19.12와 6.18.22는 4월 11일에 수정 백포트가 포함됐지만, Longterm 6.12, 6.6, 6.1, 5.15, 5.10에는 당시 수정이 들어가지 않음
• 수정은 오래된 커널에 clean apply되지 않았고, 즉시 배포가 필요한 상황에서는 IPSec의 authencesn 모듈 비활성화 패치가 임시 대응으로 사용될 수 있음
• Linux 커널 취약점은 보고자가 linux-distros ML로 가져오지 않는 한 배포판에 사전 알림이 가지 않으며, 이번 건에서도 heads-up이 발생하지 않음

CVE-2026-31431 영향 범위와 수정 상태

• CopyFail은 Linux 커널의 로컬 권한 상승 취약점이며, 최근 커널의 “make-me-root” 취약점 중 가장 심각한 축에 듦
• 문제는 4.14의 commit 72548b093ee38a6d4f2a19e6ef1948ae05c181f7에서 도입됐고, 6.18.22, 6.19.12, 7.0에서 각각 수정됨
• 6.18.22 수정 commit
• 6.19.12 수정 commit
• 7.0 수정 commit
• 6.19.12와 6.18.22는 4월 11일에 수정 백포트가 포함된 상태로 릴리스됨
• Longterm 6.12, 6.6, 6.1, 5.15, 5.10에는 당시 수정이 들어가지 않았고, upstream stable queue에서도 보이지 않았음
• 2017년에 도입된 문제라면 오래된 커널들도 영향을 받는지 확인 필요함

배포판 사전 통지와 임시 대응

• 해당 수정은 오래된 커널에 clean apply되지 않음
• 즉시 배포할 필요가 있는 상황에서 백포트를 시도했지만, 몇 가지 API 변경 때문에 확신 있게 진행하기 어려웠음
• 임시 대응으로 IPSec의 authencesn 모듈을 비활성화하는 패치를 사용할 수 있으며, IPSec 전문가가 아니어도 “덜 나쁜 선택”에 가까움
• 0001-crypto-disable-authencesn-module-for-CVE-2026-31431.patch: CVE-2026-31431 대응용 authencesn 모듈 비활성화 패치
• Linux 커널 취약점은 보고자가 linux-distros ML로 가져오지 않는 한 배포판에 사전 알림이 가지 않음
• 이번 건에서는 linux-distros ML을 통한 heads-up이 발생하지 않았음