[CVE] CVE-2026-7374 (CVSS 9.9 · 치명적) [CWE-59]

핵심 요약

KubeVirt의 virt-handler 구성 요소에서 CVE-2026-7374(CVSS 9.9) 취약점이 발견되었으며, 이는 인증된 OpenShift 사용자가 가상 머신 콘솔 소켓에 대한 부적절한 심볼릭 링크 유효성 검사를 악용하여 호스트 및 전체 클러스터에 대한 완전한 제어를 획득할 수 있게 합니다. 공격자는 콘솔 소켓을 호스트의 컨테이너 런타임(CRI-O) 소켓에 대한 심볼릭 링크로 교체하는 방식으로 virt-handler의 권한 있는 연결을 가로채며, 이는 MITRE ATT&CK의 'Escape to Host(T1611)' 전술과 유사하게 컨테이너 환경을 탈출하여 호스트 시스템에 대한 접근 권한을 획득하는 수법입니다. IT 감사인은 클라우드 네이티브 환경, 특히 컨테이너 및 가상화 인프라의 보안 설정 및 취약점 관리 프로세스가 적절히 수립되고 운영되는지 점검하여 잠재적인 호스트 탈출 공격에 대비해야 합니다.

💡 개선 권고안

• ✔기술적 조치KubeVirt의 virt-handler 구성 요소에 대한 CVE-2026-7374 취약점 패치가 발표되는 즉시 모든 관련 시스템에 적용하고, 패치 적용 전까지는 임시 완화 조치를 수립 및 시행할 것을 권고함.
• ✔기술적 조치OpenShift 환경에서 가상 머신 콘솔 소켓 및 컨테이너 런타임(CRI-O) 소켓에 대한 접근 통제 정책을 최소 권한 원칙에 따라 강화하고, 비정상적인 심볼릭 링크 생성 시도를 탐지할 수 있도록 보안 솔루션의 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치클라우드 네이티브 환경(컨테이너, 가상화)에 대한 정기적인 취약점 스캐닝 및 모의 해킹을 수행하여 잠재적인 호스트 탈출 취약점을 사전에 식별하고 제거하는 프로세스를 강화할 것을 권고함.
• ✔관리적 조치컨테이너 및 가상화 인프라 운영 담당자를 대상으로 호스트 탈출 공격 기법 및 방어 전략에 대한 최신 보안 교육을 정기적으로 실시하여 보안 인식 및 대응 역량을 향상시킬 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문