[방어] 분석 — CVE-2026-15551

• 심각도 medium · CVSS 5.5 · EPSS 0.00081 · 악용난이도 hard

• rlottie가 Lottie(JSON/바이너리) 파일을 파싱할 때 정수 연산에서 오버플로우가 발생하면 버퍼 크기 계산이 잘못돼 메모리 손상이 일어납니다.
• 악성 Lottie 파일을 로컬에 두거나, WebView·메신저 프리뷰 등 외부 입력을 직접 파싱하는 서비스에 전달하면 UI:R(사용자 인터랙션)과 PR:L(낮은 권한)만으로 트리거됩니다.
• 오버플로우가 성공하면 힙/스택 손상 → 임의 코드 실행 또는 프로세스 비정상 종료(DOS)까지 이어질 수 있습니다.

악용 가능성: 1. CVSS 벡터 AV:L은 공격자가 로컬에서 실행 중인 프로세스에 접근해야 함을 의미하므로, 원격 네트워크를 통한 직접 이용이 불가능하고 물리적·관리적 권한이 전제됩니다.
2. AC:H(높은 복잡도)와 UI:R(사용자 인터랙션 필요)은 정수 오버플로우를 트리거하려면 특수하게 조작된 입력값을 제공하고, 해당 입력을 수동으로 확인·전송하는 절차가 요구됨을 나타냅니다.
3. PR:L(낮은 권한)에도 불구하고 로컬 사용자라 하더라도 최소 권한만 있으면 취약 함수에 도달할 수 있어, 일반 사용자가 악성 파일을 실행하거나 스크립트를 삽입했을 경우 위험이 발생합니다.
4. EPSS 0.00081은 현재 전 세계적으로 실제 악용 사례가 매우 드물지만, 존재하지 않는 것은 아니므로 방어자는 무시해서는 안 됩니다. KEV에 등재되지 않은 점은 아직 대규모 공격 캠페인으로 확산되지 않았음을 의미하지만, 취약 자체가 로컬 코드 실행을 가능하게 하므로 내부 위협 시나리오에서는 여전히 위험합니다.
5. 트리거 조건은 rlottie 라이브러리를 이용해 애니메이션 파일을 파싱할 때 특정 정수값이 오버플로우되는 경우이며, 공격 표면은 해당 라이브러리를 사용하는 모든 애플리케이션(예: 미디어 뷰어, 웹 브라우저 플러그인)과 그들이 열람하는 로컬 파일 경로가 됩니다.
6. 따라서 이 취약점은 원격에서 쉽게 악용되지는 않지만, 내부 사용자가 조작된 Lottie 파일을 실행하거나 자동화된 스크립트를 통해 입력값을 전달할 경우 높은 위험성을 가집니다.
7. 공격자는 로컬에 접근 가능한 계정으로 의도적으로 변조된 애니메이션 데이터를 제공하고, 이를 처리하도록 유도함으로써 버퍼 오버플로우를 일으켜 임의 코드 실행을 시도합니다.
8. 요약하면, 물리적·관리적 제어가 확보된

• Confidentiality: 제한적(C:L) – 메모리 내용이 변조될 경우 일부 민감 데이터가 노출될 가능성.
• Integrity: 제한적(I:L) – 파일·프로세스 메모리가 손상돼 데이터 무결성이 훼손될 수 있음.
• Availability: 높음(A:H) – 크래시 또는 서비스 중단이 발생하면 가용성에 큰 영향을 줍니다.

• 정수 오버플로우(CWE‑190)와 메모리 손상 후 ROP(CWE‑119)를 결합한 공격 흐름이 일반적이며, 동일한 입력 검증 부재를 가진 이미지·비디오 파서와 연계될 경우 원격 코드 실행까지 확장될 수 있습니다. (구체적인 CVE 번호는 확인되지 않음)

• 로그 지표

  • 애플리케이션 로그: rlottie_parse 호출 직후 error: integer overflow 혹은 buffer size exceeds 메시지가 기록됨. (message 필드)
  • 시스템 로그/syslog: segfault·SIGSEGV 발생 시 스택 트레이스에 rlottie 함수가 포함될 경우. (msg 필드)
  • 웹 서버 접근 로그: Lottie 파일(*.json, *.lottie) 업로드 요청에서 Content‑Length 가 1 MB 이상인 경우. (request_uri, content_length 필드)

• SIEM 탐지 규칙 예시

  1. 오버플로우 오류 패턴

     • Source: Application log
     • Field: message
     • Condition: /integer overflow|buffer size exceeds/ AND rlottie 포함
     • Threshold: 발생 즉시 알림

  2. 비정상적인 Lottie 파일 업로드

     • Source: Web server access log
     • Fields: request_uri, content_length
     • Condition: request_uri matches "\.(json|lottie)$" AND content_length > 1048576 (1 MB)
     • Threshold: 5분 내 3회 초과 시 경고

  3. 프로세스 크래시 감지

     • Source: Host‑based IDS / syslog
     • Field: msg
     • Condition: segfault AND process_name contains "rlottie"
     • Threshold: 즉시 알림

• 오탐 튜닝

  • 정상적인 대용량 Lottie 파일이 존재한다면 해당 파일 해시를 허용 리스트에 추가하고, 규칙 2의 임계값을 서비스별 평균 크기로 조정합니다.
  • 개발 단계에서 발생하는 테스트 로그는 debug 레벨로 전환하고, 운영 환경에서는 error 이상만 수집하도록 필터링하여 잡음 감소를 확보합니다.

• 즉시(긴급 차단) – 모든 외부 Lottie 파일 로딩을 차단하거나, WebView·메신저 등 rlottie가 사용되는 컴포넌트에서 rlottie 라이브러리 호출을 비활성화합니다.

  • 구현 난이도: 낮음 (설정 파일/ACL 수정)
  • 운영 영향: 사용자에게 Lottie 기반 애니메이션 제공 불가 → UI 기능 제한
  • 검증 방법: 차단 정책 적용 후 업로드·렌더링 시도 로그에 “blocked” 메시지 존재 여부 확인

• 단기(완화) – rlottie 파서 앞에 입력 검증 로직을 삽입해 width, height, frameCount 등 정수 필드가 32‑bit 양수 범위를 초과하지 않도록 제한하고, 파일 크기가 2 MB를 넘으면 자동 거부합니다.

  • 구현 난이도: 중 (코드 레벨 검증 추가)
  • 운영 영향: 정상 파일에 약간의 지연 발생 가능성(검증 비용)
  • 검증 방법: 정상 Lottie와 변조된 테스트 파일을 각각 파싱해 오류 로그(integer overflow) 유무 확인

• 근본(해결) – 공급업체가 제공하는 패치를 적용하거나, rlottie 최신 버전(오버플로우 방어 코드 포함)으로 교체합니다.

  • 구현 난이도: 중~높음 (라이브러리 교체·재빌드·CI 테스트 필요)
  • 운영 영향: 배포 파이프라인에 추가 검증 단계가 들어가지만, 정상 서비스 가용성은 유지됩니다.
  • 검증 방법: 패치 적용 후 동일 입력에 대해 오버플로우 로그가 사라지는지 회귀 테스트 수행

• 잔여 리스크 – 패치 전까지는 즉시 차단과 단기 검증을 병행해야 하며, 새로운 변형 파일이 등장할 경우 탐지 시그니처를 업데이트해야 합니다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 해당 호스트·프로세스(rlottie) 확인
  2. 최근 Lottie 파일 업로드 로그와 해시 검증
  3. 애플리케이션/시스템 로그에서 integer overflow 또는 segfault 메시지 존재 여부 파악
  4. 의심 파일을 격리하고, 메모리 덤프 분석으로 악성 코드 흔적 확인
  5. 차단 정책·검증 로직 강화 후 재발 방지 조치 적용

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00081 · exploit=hard · in_scope=None