[CVE] CVE-2026-34177 (CVSS 9.1 · 치명적) [CWE-184]

핵심 요약

Canonical LXD 버전 4.12부터 6.7까지의 불완전한 거부 목록 취약점(CVE-2026-34177, CVSS 9.1)이 발견되어 원격 공격자가 VM 인스턴스에서 호스트 루트 권한을 획득할 수 있게 되었습니다. 이 취약점은 `isVMLowLevelOptionForbidden` 함수에서 `raw.apparmor` 및 `raw.qemu.conf` 키를 거부 목록에서 누락시켜 발생하며, 공격자는 제한된 프로젝트 내 `can_edit` 권한을 가진 VM 인스턴스에 AppArmor 규칙과 QEMU chardev 구성을 주입하여 LXD Unix 소켓을 게스트 VM으로 연결하고, 이를 통해 LXD 클러스터 관리자를 거쳐 최종적으로 호스트 루트 권한을 탈취합니다. 이는 MITRE ATT&CK의 'Escape to Host(T1611)' 전술에 해당합니다. IT 감사 관점에서, 가상화 환경의 보안 설정 미흡이 심각한 권한 상승으로 이어질 수 있음을 보여주며, 가상화 인프라의 보안 통제 및 설정 검증의 중요성을 강조합니다.

💡 개선 권고안

• ✔기술적 조치Canonical LXD를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하여 CVE-2026-34177 취약점을 해결할 것을 권고함.
• ✔기술적 조치LXD 환경에서 VM 인스턴스에 부여되는 `can_edit` 권한을 최소한의 원칙에 따라 재검토하고, 불필요한 권한은 즉시 회수할 것을 권고함.
• ✔기술적 조치AppArmor 및 QEMU chardev 구성에 대한 비정상적인 변경 시도를 탐지할 수 있도록 호스트 및 게스트 VM의 보안 로깅 및 모니터링 시스템(SIEM, EDR 등)의 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치가상화 및 컨테이너 환경에 대한 보안 취약점 관리 정책을 수립하고, 정기적인 보안 취약점 점검 및 패치 관리 프로세스를 강화할 것을 권고함.
• ✔관리적 조치가상화 환경에서 게스트 VM과 호스트 간의 권한 분리 및 접근 통제에 대한 내부 통제 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문