[분석가] 분석 — CVE-2026-56000

• 심각도 high · CVSS 7.8 · EPSS 0.00222 · 악용난이도 hard

로컬 사용자가 X 서버에 GLX commit을 전송하면 CommonMakeCurrent() 함수가 이미 해제된 힙 메모리를 참조합니다. 이로 인해 Heap Use‑After‑Free가 발생하고, 악성 코드가 임의 주소를 실행해 루트 권한으로 상승할 수 있습니다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 공격자가 로컬 X 서버에 연결할 수 있는 계정만 있으면 되며, 복잡한 사전 조건이 거의 필요하지 않음을 의미합니다. UI가 N인 점은 사용자의 추가적인 동작 없이도 GLX 커밋을 전송하면 취약 함수 CommonMakeCurrent()가 재할당된 힙 메모리를 참조해 Use‑After‑Free가 발생한다는 것을 뜻합니다. EPSS 0.

• 영향 제품: x.org x_server 21.2.24 미만, x.org xwayland 24.1.13 미만
• 기술적 위험: 성공 시 X 서버 프로세스가 메모리 손상으로 크래시하거나 임의 코드 실행을 통해 시스템 전체를 장악할 수 있습니다. 이는 서비스 중단과 호스트 권한 탈취를 초래합니다.
• 비즈니스 영향
  • 가용성: X 데스크톱/워크스테이션이 비정상 종료되면 업무 연속성이 저하됩니다.
  • 규제·컴플라이언스: 루트 권한 탈취는 내부 보안 정책 위반 및 감사 리스크를 발생시킵니다.
  • 신뢰도: 로컬 사용자 간 권한 격리가 무너져 조직 내 신뢰가 손상됩니다.
• 노출 규모: 해당 버전 이하의 X 서버를 실행하는 모든 Linux 워크스테이션·서버가 영향을 받으며, 다중 테넌트 VDI 환경에서도 동일하게 적용됩니다.

메모리‑Corruption 계열 힙 UAF 취약점과 유사한 공격 흐름을 활용해 다른 로컬 권한 상승(CVE‑2022‑XXXX 등)이나 컨테이너·샌드박스 탈출 시나리오와 연계될 가능성이 있습니다.

• Xorg/Xwayland 로그에 “use‑after‑free” 또는 CommonMakeCurrent 관련 세그멘테이션 오류가 기록되는 경우.
• 커널 dmesg에서 해제된 힙 주소에 대한 접근 경고.
• SELinux/Audit 로그에 Xwayland 프로세스의 비정상적인 GLX IOCTL 호출 흔적.

• 즉시 조치
  1. xorg.conf 또는 환경 변수로 GLX 기능을 비활성화(Option "GLX" "disable").
  2. SELinux 정책을 강화해 Xwayland의 GLX 호출을 차단(예: allow xwayland_t glx_client_t:unix_stream_socket { connectto }).
  3. 각 Xwayland 클라이언트에 AppArmor/SELinux 샌드박스를 적용하고, GLX 사용 권한을 최소화합니다.
• 근본 해결
  • 공급업체가 제공하는 패치가 릴리스될 때까지 최신 안전 버전(≥ 21.2.24, ≥ 24.1.13)으로 업그레이드합니다.
  • 패치 적용 전후에 메모리 할당/해제 추적 로깅을 활성화하여 이상 징후를 조기에 탐지합니다.

우선순위 판단 근거: 다중 소스에서 일관성이 확인됐으며(CVSS 7.8, high), EPSS 0.00222(실제 악용 가능성은 낮지만 존재)와 exploit 난이도 hard을 고려해 이번 주 내 “scheduled” 대응으로 지정되었습니다. KEV에 등재되지 않았으나, 로컬 권한 상승 위험과 비즈니스 영향이 크므로 즉시 위 완화 조치를 적용하는 것이 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00222 · exploit=hard · in_scope=None