🇰🇷 한글 설명
Linux 커널의 감시(audit) 시스템에서 getxattrat()과 listxattrat() 시스템콜이 read class에 누락되어 파일 확장 속성 접근 시 감시 규칙을 우회할 수 있습니다. 공격자가 감시 로그를 남기지 않고 민감한 파일 속성에 접근 가능합니다.
💡 쉬운 설명
Linux의 감시 시스템이 특정 파일 속성을 읽는 두 가지 방법을 감시하지 못하도록 설계되었습니다. 이를 통해 모니터링을 피하면서 파일 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
audit: add missing syscalls to read class
The "at" variant of getxattr() and listxattr() are missing from the
audit read class. Calling getxattrat() or listxattrat() on a file to
read its extended attributes will bypass audit rules such as:
-w /tmp/test -p rwa -k test_rwa
The current patch adds missing syscalls to the audit read class.
📍 영향받는 시스템
Linux 커널 (최신 버전까지, 정확한 버전 범위는 배포판별 상이)
⚔️ 공격 벡터
getxattrat() 또는 listxattrat() 시스템콜을 호출하여 audit 규칙을 우회하고 파일 확장 속성 접근
🛡️ 대응 방법
Linux 커널 패치 적용 (audit read class에 누락된 시스템콜 추가)
🔧 검증 코드
audit 규칙 목록에서 getxattrat/listxattrat이 포함되어 있으면 패치 적용됨, 없으면 취약함
auditctl -l 2>/dev/null | grep -i 'getxattr\|listxattr' || echo 'audit not configured'