🇰🇷 한글 설명
Linux 커널 6.6 이상에서 fchmodat2() 함수가 audit의 change attributes 클래스에 포함되지 않아, 파일 속성 변경 시 audit 규칙을 우회할 수 있는 취약점입니다. chmod()나 fchmodat()와 달리 fchmodat2()로 파일 권한을 변경하면 감사 로그가 기록되지 않아 파일 모니터링 규칙이 무시됩니다.
💡 쉬운 설명
새로운 파일 권한 변경 명령어(fchmodat2)가 감시 시스템에 등록되지 않아, 이 명령어로 파일을 변경하면 로그에 남지 않습니다. 공격자가 감시를 피해 시스템 파일을 몰래 수정할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
audit: add fchmodat2() to change attributes class
fchmodat2(), introduced in version 6.6 is currently not in the change
attribute class of audit. Calling fchmodat2() to change a file
attribute in the same fashion than chmod() or fchmodat() will bypass
audit rules such as:
-w /tmp/test -p rwa -k test_rwa
The current patch adds fchmodat2() to the change attributes class.
📍 영향받는 시스템
Linux kernel 6.6 이상 (RHEL, Ubuntu, Debian 등 모든 배포판)
⚔️ 공격 벡터
fchmodat2()를 이용한 파일 속성 변경으로 audit 규칙 우회 (특히 보안 감시 규칙 무시 가능)
🛡️ 대응 방법
Linux 커널을 fchmodat2() audit 패치가 포함된 최신 버전으로 업데이트
🔧 검증 코드
커널 버전 6.6 이상인지 확인하고, 현재 적용된 audit 규칙 중 파일 쓰기 감시(-p w 옵션) 규칙이 정상 작동하는지 확인
uname -r | grep -E '^[0-9]+\.[0-9]+' && auditctl -l | grep -E 'perm=.*w' | head -3