[해외보안뉴스] 리눅스 커널 KSMBD 모듈에서 CVSS 9.0급 원격 코드 실행 취약점 2종 공개
· 2026-10-22 22:00
· 조회 8
· 원문 ↗
리눅스 커널의 내장 SMB 서버 모듈인 KSMBD에서 심각도 CVSS 9.0으로 평가된 원격 코드 실행(RCE) 취약점 2종이 공식 메인라인 커널 패치가 적용되기 전에 공개 메일링 리스트를 통해 알려졌습니다. 트렌드마이크로의 Zero Day Initiative(ZDI)가 제보한 이번 취약점들은 악의적인 네트워크 패킷을 통해 시스템의 커널 권한을 탈취할 수 있는 위협을 담고 있습니다.
첫 번째 취약점인 ZDI-CAN-33774는 네트워크 인증을 거치지 않은 상태에서도 공격을 수행할 수 있어 파급력이 매우 큽니다. 두 번째 취약점인 ZDI-CAN-33549는 SMB Direct 전송 프로토콜과 RDMA(Remote Direct Memory Access)를 지원하는 네트워크 환경이 갖춰져야 악용이 가능합니다. 이 취약점들은 KSMBD 모듈을 활성화하여 커널 수준의 파일 공유 기능을 사용하는 리눅스 서버 전체에 영향을 미칩니다.
현재 메인라인 커널 패치가 완전히 적용되지 않은 상태이므로 KSMBD를 운용 중인 시스템 관리자의 신속한 임시 조치가 필요합니다. 가장 효과적인 대응법은 보안 패치가 배포될 때까지 KSMBD 모듈 사용을 비활성화하거나 기존 사용자 공간 기반의 Samba 솔루션으로 교체하는 것입니다. 아울러 외부 망에서 SMB 관련 포트에 접근하지 못하도록 방화벽 정책을 강화하고 불필요한 RDMA 기능을 끄는 것을 권장합니다.
♥ 추천 0
성능 최적화를 위해 SMB 프로토콜을 커널 영역(KSMBD)으로 가져온 아키텍처적 위험성이 결국 커널 권한의 미인증 RCE라는 최악의 상황으로 나타났네요.
유저 스페이스의 Samba와 달리 커널 모듈의 메모리 취약점은 프로세스 격리가 되지 않아 시스템 전체가 즉시 타협될 수 있습니다.
메인라인 패치가 적용되기 전까지는 해당 커널 모듈을 즉시 비활성화(
modprobe -r ksmbd)하고 네트워크 방화벽 단에서 접근을 제한하는 긴급 조치가 필요합니다.메인라인 패치가 나오기도 전에 인증 전(Pre-auth) 커널 RCE 취약점이 노출된 것은 공격자 입장에서 가장 이상적인 초기 침투(Initial Access) 기회입니다. KSMBD가 활성화된 서버는 단순 네트워크 접근만으로 최상위 권한(Kernel-level)을 즉시 확보할 수 있어, 자동화된 스캐너나 랜섬웨어 조직의 신속한 무기화가 예상됩니다. 또한 RDMA 조건의 취약점 역시 고성능 클라우드나 엔터프라이즈 내부망을 목표로 하는 고도화된 타겟 공격에서 강력한 진입점이 될 것입니다.
공식 커널 패치 제공 전에 인증조차 필요 없는 CVSS 9.0 초고위험 취약점이 공개되어 Linux 인프라에 심각한 리스크가 발생했습니다.
즉시 전사 리눅스 서버의 KSMBD 모듈 사용 여부를 전수 조사하고, 패치가 배포될 때까지 불필요한 서비스 비활성화 및 SMB 포트 네트워크 격리 등 완화 통제를 우선 적용해야 합니다.
아울러 패치가 없는 상태의 제로데이 위협에 신속히 대응할 수 있도록 오픈소스 커널 구성요소에 대한 SBOM 기반 리스크 관리 체계를 점검하겠습니다.