Linux 커널 보안 권고, 버전 숫자만으로 판정하지 말자: Fragnesia 적용 확인

실행 중인 커널과 보안 패치 계층을 표현한 생성형 개념 이미지다. 실제 서버 화면이나 취약점 재현 화면이 아니다.

커널 보안 권고에 적힌 버전보다 uname -r의 숫자가 낮으면 반드시 취약할까. 반대로 최신 커널 패키지를 설치했다면 조치가 끝났을까. 둘 다 그것만으로는 판단할 수 없다. 배포판의 해당 CVE 판정, 수정 패키지, 실제 실행 상태를 따로 확인해야 한다.

KISA는 2026년 10월 29일 CVE-2026-46300에 대한 Linux 제품 보안 업데이트를 권고했다. Fragnesia로도 불리는 이 문제는 5월에 공개된 취약점이다. 이번 글은 새 취약점의 발견 소식이 아니라, 새 국내 권고를 계기로 기존 서버의 조치 완료 기준을 점검하는 가이드다. KISA 권고, Red Hat CVE 기록

무엇이 문제이고, 무엇은 아닌가

공식 CVE 설명은 Linux 커널의 ESP-in-TCP 처리와 페이지 캐시의 잘못된 쓰기를 다룬다. 낮은 권한으로 시스템에 접근한 공격자가 이를 악용하면 권한 상승으로 이어질 수 있다. 외부에서 로그인 없이 모든 Linux 서버를 바로 장악하는 원격 취약점으로 해석해서는 안 된다. Red Hat 설명

그렇다고 로컬 취약점이 중요하지 않은 것은 아니다. 여러 사용자가 작업하거나 신뢰하기 어려운 코드를 실행하는 서버라면 권한 경계가 중요하다. 이 문장은 특정 서버의 침해 사실이 아니라 운영 위험에 대한 해석이다. 이 글에서는 공격 코드나 취약점 재현을 실행하지 않았다.

업스트림 버전과 배포판 패키지는 다르다

KISA 표에는 6.1 계열의 6.1.174, 6.6 계열의 6.6.141 등 계열별 해결 버전이 나온다. 이 숫자를 모든 배포판의 커널 문자열에 기계적으로 대입하면 안 된다. KISA 버전 표

배포판은 기존 버전 기반을 유지하면서 보안 수정만 가져오는 백포트를 제공할 수 있다. Red Hat도 업스트림 버전만 비교해서 취약 여부를 판단하면 안 된다고 설명한다. 따라서 대조 대상은 단순한 6.x.y가 아니라 해당 배포판·지원 스트림에 대해 공급사가 지정한 수정 패키지다. Red Hat 백포트 정책

실제로 AWS는 이 CVE에 대해 Amazon Linux와 Bottlerocket이 관련 모듈을 제공하지 않아 영향이 없다고 명시한다. 이 판정을 “AWS에서 실행되는 모든 Linux가 안전하다”거나 “Dirty Frag 계열 전체가 무관하다”로 확대하면 안 된다. 같은 공지의 다른 CVE에는 별도 영향과 조치가 적혀 있다. AWS 보안 공지

첫 단계는 변경이 아니라 식별이다

다음은 배포 환경에서 필요한 정보를 모으는 읽기 전용 예시다. 이 글 작성 중 사용자 서버에서 실행한 명령이 아니며, 출력 예시나 취약 여부 판정 결과도 만들지 않았다.

os-release는 운영체제 식별 정보를 담는다. 설치 패키지 목록은 배포판에 맞는 명령 하나를 선택해 확인한다. os-release 공식 문서

패키지 이름은 배포판과 커널 종류에 따라 다르다. 해당 이름이 없다는 결과를 안전 판정으로 취급하지 않는다. Debian 계열 출력에서는 실제 설치 상태도 함께 읽는다. RPM 조회 문서, dpkg-query 문서

컨테이너 안에서 조회했다면 더 주의한다. 컨테이너의 배포판 정보만으로 호스트 커널의 공급사와 패치 상태를 확정할 수 없다. 호스트 또는 노드 관리 계층의 자산 정보와 함께 확인하는 것이 운영상 필요한 절차다.

조치 완료는 세 가지 증거로 남긴다

실무에서는 다음 기록을 분리해 남기는 편이 좋다. 이는 공식 공지를 운영 절차로 옮긴 제안이다.

영향 판정: 배포판과 지원 버전, CVE 번호, 공급사 공지 링크, 영향 여부와 이유.

수정 적용: 공급사가 지정한 수정 패키지 또는 노드 이미지 버전과 실제 설치·교체 기록.

실행 확인: 재부팅이나 노드 교체 뒤의 실행 커널, 서비스 정상 여부, 확인 시각.

패키지 설치 성공만으로 실행 중인 커널까지 교체됐다고 가정하지 않는다. 재부팅이 필요한지, 해당 CVE를 처리하는 공식 라이브 패치가 있는지는 공급사 절차에 따라 판단한다. 서비스 중단이 발생할 수 있는 서버는 트래픽 전환·복구 계획과 함께 적용한다.

모듈 목록에 특정 이름이 없다는 이유만으로 점검을 끝내거나, 인터넷의 차단 명령을 모든 서버에 적용하지 않는다. Red Hat의 관련 공지는 구성별 완화 방법을 별도로 설명한다. 네트워크 기능을 끄는 조치는 정상 서비스에 영향을 줄 수 있으므로 해당 제품의 안내와 실제 사용 구성을 먼저 확인해야 한다. Red Hat 보안 공지

핵심은 “최신 버전인가”보다 “이 환경에 대한 수정이 실제 실행 상태에 적용됐는가”다. 이번 권고는 커널 숫자 하나를 수집하는 점검을 공급사 판정과 배포 증거가 남는 점검으로 바꿀 기회다.