🇰🇷 한글 설명
리눅스 커널의 TCP 소켓에서 SO_ATTACH_FILTER(cBPF) 사용 권한을 CAP_NET_ADMIN 권한을 가진 사용자에게만 제한하도록 수정되었습니다. 이를 통해 권한이 없는 애플리케이션이 필터를 부착하여 TCP 시퀀스 및 확인 응답 번호를 유출하는 사이드 채널 공격을 방지합니다.
💡 쉬운 설명
일반 사용자가 네트워크 정보를 몰래 훔쳐볼 수 있는 통로를 차단하는 보안 업데이트입니다. 이제 중요한 네트워크 제어 기능은 관리자 권한이 있는 사용자만 사용할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
tcp: restrict SO_ATTACH_FILTER to priv users
This patch restricts the use of SO_ATTACH_FILTER (cBPF) on TCP sockets
to users with CAP_NET_ADMIN capability.
This blocks potential side-channel attack where an unprivileged application
attaches a filter to leak TCP sequence/acknowledgment numbers.
📍 영향받는 시스템
SO_ATTACH_FILTER 제한 패치가 적용되지 않은 이전 버전의 리눅스 커널
⚔️ 공격 벡터
권한이 없는 로컬 사용자가 TCP 필터를 사용하여 네트워크 패킷의 시퀀스 번호를 추측하는 사이드 채널 공격
🛡️ 대응 방법
CAP_NET_ADMIN 제한이 포함된 최신 리눅스 커널로 업데이트 및 패치 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 보안 패치 버전 이상인지 확인