[대참사] 패치도 안 나온 리눅스 제로데이 취약점, 실수로 전체 공개해버린 보안업체

요약 보안 업계와 오픈소스 커뮤니티에서 벌어진 황당한 배달 사고 소식입니다. 트렌드마이크로의 보안 연구 조직인 '제로 데이 이니셔티브(ZDI)'가 비공개 보안 메일링 리스트 대신 모든 사람이 볼 수 있는 공개 리눅스 커널 메일링 리스트(LKML)에 치명적인 제로데이 보안 취약점 보고서들을 통째로 오발송하는 사고를 냈습니다. 공개된 취약점들은 메인라인 커널에 아직 정식 패치도 적용되지 않은 상태였으며, 위험도를 나타내는 CVSS 점수가 무려 9.0에 달하는 심각한 원격 코드 실행(RCE) 결함까지 포함되어 있었습니다. 이 사고를 목격한 리눅스 핵심 관리자이자 2인자인 그렉 크로아-하트만(Greg Kroah-Hartman)은 각 보고서마다 직접 댓글을 달며 "대체 왜 이걸 공개 메일링 리스트에 보낸 거냐"며 황당함을 감추지 못했습니다. 이번에 노출된 취약점 내역을 보면 사태의 심각성이 더욱 두드러집니다. 정수 언더플로우를 악용해 원격 코드 실행이 가능한 SMB Direct 취약점(ZDI-CAN-33549, CVSS 9.0)의 경우 차기 버전용 브랜치에만 패치가 대기 중이었으나 이번 유출로 긴급히 메인라인 반영이 추진될 예정입니다. 또 다른 CVSS 9.0 취약점인 KSMBD 경쟁 상태 결함(ZDI-CAN-33774)을 비롯해 네트워크 코드 결함으로 로컬 권한 상승을 유발하는 skb_zerocopy 버그, VMware 그래픽 드라이버(VMWGFX) 결함, NVMET 정보 유출 취약점 등 핵심 영역의 결함들이 무방비로 세상에 알려졌습니다. 원래 보안 취약점은 해커들의 악용을 막기 위해 패치가 마련될 때까지 비공개로 조율하는 것이 불문율인데, 업계 유수의 보안 조직이 초대형 실수를 저지르며 개발자들을 비상근무로 몰아넣은 셈이 됐습니다.