리눅스 커널에서 발견된 보안 취약점들이 수정되기도 전에 공개 메일링 리스트에 게시되면서 논란이 일고 있다.
이번 사건은 보안업체 트렌드마이크로(Trend Micro)의 제로데이 이니셔티브(ZDI)가 리눅스 커널 개발자들에게 보안 취약점 6건을 전달하는 과정에서 발생했다. 일반적으로 보안 취약점은 개발자들이 수정할 시간을 확보할 수 있도록 비공개 채널을 통해 신고하지만, ZDI는 누구나 열람할 수 있는 리눅스 커널 메일링 리스트(LKML)에 관련 정보를 게시했다.
공개된 취약점 중에는 보안 위험도가 CVSS 기준 9.0점에 달하는 심각한 문제도 2건 포함됐다. 리눅스의 SMB 파일 공유 기능과 관련된 취약점으로, 특정 조건에서 공격자가 원격으로 악성 코드를 실행할 수 있는 것으로 알려졌다.
나머지 취약점들도 네트워크 패킷 처리, 가상화 환경의 그래픽 드라이버, NVMe 저장장치 관련 기능 등에 영향을 미치며, 시스템 권한 상승이나 정보 유출 등에 악용될 가능성이 있다. 다만 각 취약점은 특정 기능과 실행 환경에 영향을 미치는 만큼 모든 리눅스 시스템이 동일하게 위험에 노출되는 것은 아니다.
문제는 해당 취약점들에 대한 보안 패치가 아직 모두 준비되지 않았다는 점이다. 일부 취약점은 이미 수정 코드가 개발 중이지만 정식 커널에는 반영되지 않은 상태로, 이번 정보 공개로 공격자들이 취약점을 분석하고 실제 공격에 활용할 가능성이 커졌다는 우려가 나온다.
현재까지 ZDI가 실수로 공개한 것인지, 의도적으로 공개 채널을 선택한 것인지는 확인되지 않았다. 다만 보안 취약점을 전문적으로 분석하고 신고하는 조직에서 패치되지 않은 취약점 정보를 공개했다는 점에서 보안 정보 관리 절차에 대한 논란은 피하기 어려워 보인다.
이번 사건은 최근 발생한 PHP2Shell 취약점 유출 논란과도 닮아 있다. PHP2Shell 역시 정식 보안 업데이트가 배포되기 전에 관련 정보가 공개되면서 공격자들에게 취약점을 분석할 기회를 제공했다는 지적을 받았다.
현재까지 이번 취약점을 악용한 실제 공격 사례는 확인되지 않았지만, 최근 PHP2Shell에 이어 리눅스 커널에서도 패치되지 않은 취약점이 먼저 공개되는 일이 발생하면서, 보안업체와 개발자 사이의 취약점 공개 절차와 정보 관리 체계를 재점검해야 한다는 목소리가 높아질 것으로 보인다. |
