🇰🇷 한글 설명
리눅스 커널의 audit 모듈에서 CAPSET 레코드를 기록할 때, 상속 가능한 권한(inheritable capability) 대신 유효 권한(effective capability)을 잘못 기록하는 오류가 발견되었습니다. 이로 인해 권한 변경 사항이 감사 로그에 정확히 남지 않아 보안 분석 및 컴플라이언스 확인 시 데이터가 왜곡될 수 있습니다.
💡 쉬운 설명
시스템의 권한이 변경될 때 기록되는 보안 일기장에 잘못된 정보가 적히는 버그입니다. 공격자가 권한을 몰래 변경하더라도 기록에는 정상인 것처럼 보여 보안 감시를 피할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
audit: fix incorrect inheritable capability in CAPSET records
__audit_log_capset() records the effective capability set into the
inheritable field due to a copy-paste error. Every CAPSET audit
record therefore reports cap_pi (process inheritable) with the value
of cap_effective instead of cap_inheritable.
This silently corrupts audit data used for compliance and forensic
analysis: an attacker who modifies inheritable capabilities to
prepare for a privilege-escalating exec would have the change masked
in the audit trail.
The bug has been present since the original introduction of CAPSET
audit records in 2008.
📍 영향받는 시스템
2008년 이후 CAPSET audit 레코드가 도입된 모든 리눅스 커널 버전
⚔️ 공격 벡터
공격자가 권한 상승을 위해 상속 가능한 권한을 수정하더라도 감사 로그에는 유효 권한 값으로 잘못 기록되어 탐지를 회피함
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인