[분석가] 분석 — CVE-2026-56002

• 심각도 high · CVSS 8.5 · EPSS 0.00428 · 악용난이도 hard

인증된 X 클라이언트가 조작된 PCF 폰트를 전송하면, libXfont2의 pcfReadFont()에서 글리프 경계 검사가 누락되어 힙 버퍼 오버플로우가 발생합니다. 이 과정을 통해 공격자는 X 서버 프로세스 메모리에 임의 코드를 삽입·실행할 수 있습니다.

악용 가능성: 1. 이 취약점은 네트워크를 통해 접근 가능한 X 서버에 대한 요청이 전제이며, CVSS

• 시스템 장악: X 서버는 일반적으로 root 혹은 고권한으로 실행되므로, 성공 시 전체 시스템에 대한 원격 코드 실행이 가능해집니다.
• 데이터 유출·변조: X 서버를 통한 화면 캡처, 키 입력 가로채기, 클립보드 내용 열람 등이 가능해져 기밀성 및 무결성이 크게 위협받습니다.
• 서비스 중단: 오버플로우가 크래시를 일으키면 GUI 서비스 전체가 마비되어 가용성이 손실됩니다.
• 규제·컴플라이언스 위험: 금융, 의료 등 고보안 환경에서 X 서버가 장착된 워크스테이션이 침해될 경우 규정 위반 및 감사 실패 위험이 존재합니다.
• 노출 규모: libXfont2 < 2.0.8이 설치된 모든 Linux/UNIX X11 환경(서버·워크스테이션)에서 영향을 받으며, 다중 소스에서 일관성이 확인됐습니다([교차검증]).

• 동일 CWE‑122(Heap‑Based Buffer Overflow) 유형의 폰트 파싱 결함은 과거 X11 권한 상승 및 횡적 이동 공격과 연계된 사례가 보고되었습니다.
• 성공적인 루트 쉘 확보 후 SELinux/AppArmor 우회, 다른 네트워크 서비스에 대한 무단 접근 등으로 체이닝될 가능성이 있습니다.

• X 서버 로그에서 pcfReadFont 호출 시 비정상적인 메모리 할당 오류 또는 세그멘테이션 폴트를 모니터링합니다.
• 네트워크 IDS/IPS: 포트 6000‑6063에 들어오는 X11 트래픽 중 PCF 폰트 블록 헤더의 glyphCount 값이 비정상적으로 큰 패킷(예: 10 KB 이상) 탐지.
• auditd·ELK 연동: X 서버 프로세스 크래시 이벤트와 /usr/share/fonts/ 디렉터리 아래 폰트 파일 로드 기록을 수집·분석합니다.

1. 패치 적용 – libXfont2 ≥ 2.0.8 버전으로 즉시 업그레이드합니다.
2. 런타임 하드닝 – X 서버 fontpath에 신뢰할 수 없는 경로를 차단하고, 불필요한 폰트 로딩을 비활성화합니다.
3. 메모리 보호 확인 – X 서버 프로세스에 ASLR, DEP 등 메모리 보호 기능이 적용됐는지 검증합니다.
4. 접근 제어 강화 – 방화벽·xauth 등으로 외부 X 클라이언트 접속을 제한하고, XDMCP·SSH 터널링을 차단합니다.
5. 보안 프로파일 적용 – SELinux/AppArmor 정책을 통해 X 서버가 최소 권한으로 실행되도록 격리합니다.
6. 모니터링 및 재시작 정책 – 위 탐지 지표를 SIEM에 연동하고, 비정상적인 크래시 발생 시 자동 재시작·조사 절차를 운영합니다.

우선순위는 CVSS 8.5, EPSS 0.00428(실제 악용 가능성은 낮지만 존재), KEV 미등재, exploit 난이도 hard를 고려해 이번 주 내에 조치하도록 스케줄링되었습니다([우선순위 결정]).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.5 · non-KEV · EPSS=0.00428 · exploit=hard · in_scope=None