[단독분석] 분석 — CVE-2026-41989

• 심각도 medium · CVSS 6.7 · EPSS 0.00182 · 악용난이도 hard

• 악성 ECDH 암호문을 gcry_pk_decrypt 함수에 전달하면 힙 버퍼가 오버플로우됩니다.
• 취약점은 로컬 환경(AV:L)에서 동작하며, 특권이 없는 사용자가(PR:N) 영향을 받을 수 있습니다.
• 공격자는 정상적인 GnuPG/Libgcrypt 호출을 위조된 ECDH 데이터와 결합해 프로세스를 비정상 종료시키거나 메모리 손상을 유발할 수 있습니다(실제 원격 코드 실행은 CVSS 벡터에 포함되지 않음).

악용 가능성: 이 취약점은 AV:L(로컬) 조건에서만 발생하므로 공격자는 대상 시스템에 직접 접근하거나 악성 코드를 실행할 수 있어야 합니다. AC:H(높음) 요구는 정확한 메모리 레이아웃 파악과 특수하게 조작된 ECDH 암호문을 제공해야 함을 의미해, 실전에서 재현하기 어려운 높은 기술적 장벽이 존재합니다. PR:N 및 UI:N 조건은 네트워크 공격자나 사용자 상호 작용 없이도 로컬 권한만으로 시도가 가능하다는 점을 보여주지만, 이는 여전히 로컬 실행 전제가 필요함을 강조합니다. EPSS 값 0.00182는 현재까지 실제 악용 사례가 거의 없으며, KEV에 등재되지 않은 점과 일치해 이 취약점이 이론적으로 심각하지만 실전 위협은 낮다고 판단됩니다. 공격 표면은 Libgcrypt 1.12.2 이전 버전을 사용하는 애플리케이션 중 gcry_pk_decrypt 함수를 호출해 ECDH 암호문을 입력받는 파일·IPC·API 엔드포인트가 노출된 경우에 한정됩니다. 따라서 로컬 권한 확보와 정확히 조작된 암호문 제공이 동시에 충족될 때만 성공 가능한 고난이도 공격 시나리오로 평가됩니다.

• 기술적 위험
  • 힙 기반 버퍼 오버플로우가 발생하면 프로세스가 비정상 종료되어 서비스 가용성이 손상됩니다(CVSS A:H).
  • 메모리 무결성 손상으로 인해 동일 호스트 내 다른 보안 경계가 약화될 수 있으며, 공격자는 이후 추가 메모리‑코드 실행 기법을 연계할 가능성이 있습니다(무결성 I:H).
• 비즈니스 영향
  • 가용성 저하로 인한 업무 중단 및 복구 비용이 발생할 수 있습니다.
  • GnuPG를 이용하는 내부 서명·암호화 워크플로우가 중단되면 규제·컴플라이언스 요구사항(예: 전자서명 무결성) 충족에 차질이 생길 위험이 있습니다.
• 영향 제품 및 노출 규모
  • libgcrypt 1.8.8‑1.10.4, 1.11.0‑1.11.3, 1.12.0‑1.12.2 버전이 모두 취약합니다. 해당 라이브러리를 포함한 모든 배포판·애플리케이션에 영향을 미칩니다(다중 소스에서 일관성이 확인됐음).
  • 로컬 공격 벡터이므로 원격 인터넷 노출은 없지만, 공유 호스트·컨테이너 환경에서는 동일 사용자 계정이나 권한을 가진 프로세스가 악용할 수 있습니다.

• 동일 라이브러리의 이전 메모리‑오염 취약점(CWE‑122)과 연계해 메모리 할당/해제 패턴을 조작하면 추가적인 권한 상승이나 코드 실행 시나리오가 구성될 수 있습니다.
• 다른 암호화 모듈에서 발생하는 ECDH 파싱 오류와 결합하면 복합 공격 체인을 구축할 가능성이 존재합니다(구체적 CVE 번호는 확인되지 않음).

• 시스템 로그에 gcry_pk_decrypt 호출 시 “buffer overflow” 또는 “segmentation fault” 메시지가 기록되는 경우.
• GnuPG/Libgcrypt 프로세스가 비정상 종료(Crash)하거나 SIGSEGV, SIGABRT 신호를 수신하는 이벤트.
• 메모리 무결성 검사 도구(ASAN, Valgrind)에서 힙 오버플로우 경고가 발생한 경우.

• 즉시 조치: libgcrypt ≥ 1.12.2 버전으로 업데이트하고, 해당 패키지를 사용하는 모든 애플리케이션을 재배포하십시오.
• 임시 방어: ECDH 기반 복호화를 필요로 하지 않는 워크로드에서는 gcry_pk_decrypt 호출을 비활성화하거나 입력 데이터를 사전에 검증합니다.
• 보안 강화: 주소 공간 레이아웃 무작위화(ASLR), 실행 방지(NX) 및 메모리 보호 기능을 활성화하여 메모리 손상 시 악용 난이도를 높입니다.
• 모니터링: 위 “탐지” 항목에 해당하는 로그·크래시 이벤트를 SIEM 등에 연계해 실시간 알림을 설정하고, EPSS 0.00182(실측 악용 확률 낮음)와 CVSS 6.7을 고려하여 우선순위는 ‘모니터링’ 수준으로 유지하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=6.7 · non-KEV · EPSS=0.00182 · exploit=hard · in_scope=None