[단독분석] 분석 — CVE-2026-50263

• 심각도 medium · CVSS 5.5 · EPSS 0.00141 · 악용난이도 hard

• 로컬 사용자가 CreateSaverWindow()를 호출하도록 윈도우 속성을 변경하고 화면 보호기를 강제 실행함
• 변경된 속성으로 인해 내부 객체가 해제(free)된 뒤에도 여전히 참조되어 use‑after‑free read 가 발생
• 공격자는 메모리 영역을 읽어 민감한 데이터(예: 인증 토큰, 키) 를 추출할 수 있음
• CVSS 벡터 AV:L/AC:L/PR:L/UI:N 에서 알 수 있듯, 낮은 복잡도와 최소 권한으로 실행 가능하지만 사용자 상호작용이 필요 없음

악용 가능성: 이 취약점은 로컬 환경에서 X.Org X Server 또는 Xwayland에 접근할 수 있는 사용자가 창 속성을 변경하고 화면 보호기를 강제 실행하면 발생합니다(AV:L). 공격을 성공시키기 위한 절차는 복잡하지 않으며(AC:L) 최소 권한만 있으면 충분하므로(PR:L) 실제로 로컬 사용자 계정 하나만으로도 이용이 가능합니다(UI:N). EPSS 0.00141이라는 수치는 현재 관측된 악용 사례가 매우 적지만, 완전히 배제되지 않는 수준임을 보여 주어 이론적 심각도가 현실 위협과 완전히 일치하지 않음을 설명합니다. KEV 데이터베이스에 등재되지 않은 점은 아직 공개적으로 확인된 공격 코드나 활발한 악성 활동이 보고되지 않았다는 의미이며, 이는 현재 위험도가 낮다고 판단되는 근거가 됩니다. 공격 표면은 X Server가 제공하는 X11 프로토콜의 창 관리 인터페이스와 화면 보호기 요청 파라미터이며, 해당 기능에 접근 가능한 로컬 클라이언트가 트리거 조건을 만족하면 정보 유출이 발생할 수 있습니다. 따라서 난이도는 “hard” 수준으로 평가되지만, 실제 악용 가능성은 낮은 편이며, 주로 내부 위협이나 권한 상승 시나리오에서 고려될 필요가 있습니다.

• 기술적 위험
  • 정보 유출 (Confidentiality = High) – 메모리 내용이 비공개 데이터일 경우 외부에 노출될 수 있음
  • 무결성·가용성은 CVE 설명에 포함되지 않아 직접적인 시스템 장악이나 서비스 중단은 발생하지 않음
• 영향 제품 (다중 소스에서 일관성이 확인됐다)
  • X.Org X server < 21.1.23
  • X.Org Xwayland < 24.1.12
  • Red Hat Enterprise Linux 에 포함된 해당 패키지들 (버전 미상)
• 비즈니스 리스크
  • 민감 정보(인증 정보, 기업 비밀 등)가 노출될 경우 규제·컴플라이언스 위반 가능성
  • 내부 사용자 간 데이터 유출이 감지되면 신뢰도 하락 및 사고 대응 비용 증가
• 노출 규모
  • 로컬 시스템에 접근 가능한 모든 사용자가 잠재적 공격 대상이며, RHEL 배포판을 다수 운영하는 환경에서는 광범위한 공급망 영향을 가질 수 있음 (품질 신호: 영향 제품이 6개)

• X.Org/XWayland 계열에서 과거에도 메모리‑Corruption(Use‑After‑Free, Heap‑Overflow 등) 유형의 취약점이 보고된 바 있어, 동일한 코드 경로를 이용한 권한 상승 혹은 다른 메모리 읽기/쓰기 공격과 연계될 가능성이 존재함 (구체적 CVE 번호는 확인되지 않음).

• 감시 포인트
  • X 서버 프로세스(Xorg, Xwayland)에서 CreateSaverWindow 호출 후 바로 이어지는 메모리 접근(읽기) 이벤트
  • 화면 보호기 활성화와 동시에 윈도우 속성 변경 로그
• 예시 시그니처 (auditd, eBPF 등)
  text복사

   1auditctl -a always,exit -F arch=b64 -S read -F exe=/usr/bin/Xorg -F key=x_uaf_read

  • 위와 같은 규칙이 트리거되면 해당 세션을 조사하여 비정상적인 메모리 읽기 시도를 탐지할 수 있음.

• 즉시 조치
  • X.Org X server ≥ 21.1.23, XWayland ≥ 24.1.12 로 업데이트 (RHEL에서는 yum update xorg-x11-server* 등 최신 패키지 적용)
  • 화면 보호기 기능을 사용하지 않도록 설정하거나, 해당 기능에 접근할 수 있는 로컬 사용자 범위를 제한
• 근본 해결
  • 공급업체에서 제공하는 보안 패치를 정기적으로 적용하고, 시스템 전반에 ASLR·DEP 등 메모리 보호 메커니즘이 활성화돼 있는지 확인
  • SELinux/AppArmor 정책을 강화하여 비인가 로컬 프로세스가 X 서버와 상호작용하지 못하도록 제한

본 보고서는 다중 소스 교차검증(일관성 확인), 실측 EPSS = 0.00141(악용 가능성 낮음) 및 규칙 기반 우선순위 결정(모니터링 권고)을 근거로 작성되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00141 · exploit=hard · in_scope=None