Google、Linux VM탈출 취약점에 25만 달러 지급
원제: Google pays $250K for Linux vulnerability allowing guest VM escapes
왜 중요한가
클라우드 인프라의 근간인 Linux KVM에서 16년 묵은 VM 탈출 취약점이 확인되어, 멀티테넌트 클라우드 환경 전반의 보안 점검 필요성이 부각된다.
2026년 7월 8일, Linux의 KVM에서 게스트 VM이 호스트 OS에 root 접근 권한을 획득할 수 있는 고위험 취약점(CVE-2026-53359, 'Januscape')이 공개됐다. 연구자 Hyunwoo Kim이 발견했으며, Google은 보상금 25만 달러를 지급했다. 이 취약점은 16년간 Linux 커널에 잠재해 있었으며, AMD·Intel 양쪽 프로세서에 영향을 준다.
연구자 Hyunwoo Kim이 발견한 'Januscape'(CVE-2026-53359)는 Linux 커널에 포함된 가상화 기술 KVM의 shadow MMU 에뮬레이션 과정에서 발생하는 use-after-free 취약점이다. shadow MMU는 호스트 메모리 주소와 하이퍼바이저 메모리 주소를 상호 변환하는 역할을 하며, 이 취약점을 이용하면 게스트 VM 내부의 동작만으로 호스트 커널의 shadow page를 손상시킬 수 있다.
Kim은 '공격자는 공개 클라우드에서 단 하나의 인스턴스를 임대한 것만으로도 호스트 커널을 패닉 상태로 만들어 같은 물리 머신 위의 모든 다른 테넌트 VM을 중단시키거나(DoS), 호스트에서 root 권한으로 코드를 실행해 호스트 전체와 그 위의 모든 게스트를 장악할 수 있다(RCE)'고 설명했다. 다만 익스플로잇이 동작하려면 게스트 VM 사용자에게 root 권한이 필요하다.
Kim은 호스트 OS 크래시를 유발하는 개념 증명(PoC) 익스플로잇을 공개했으나, 완전한 게스트 탈출 익스플로잇은 '매우 먼 미래'까지 공개하지 않겠다고 밝혔다. 취약점은 QEMU에는 존재하지 않아, 클라우드 사업자가 자체 가상화 스택을 사용하는 환경에서도 공격이 가능하다. 이 취약점은 Linux 커널에 16년간 존재해 왔다. Google은 이 취약점 보고에 25만 달러의 보상금을 지급했다.
이번 주에는 또 다른 고위험 취약점 'GhostLock'(CVE-2026-43499)도 공개됐다. Nebula Security의 연구팀이 자사 AI 기반 취약점 스캐너 Vega를 활용해 발견한 이 취약점은 15년간 잠재해 있었으며, 제한된 권한의 사용자가 root로 권한을 상승시킬 수 있다. 커널의 futex 우선순위 상속 메커니즘 내 특정 경로에서 발생하는 결함이다.