[공격] 분석 — CVE-2026-50258

• 심각도 high · CVSS 7.8 · EPSS 0.00161 · 악용난이도 hard

• 공격 표면

  • 로컬 Unix 도메인 소켓 /tmp/.X11-unix/* 혹은 TCP 포트 6000 (X 서버가 ‑nolisten tcp 없이 실행된 경우).
  • X 프로토콜의 XKB extension 요청, 특히 XkbSetMap / XkbSetDeviceInfo 에 포함되는 key type 구조체.

• 전제 조건

  1. 대상 시스템에 취약한 버전이 설치돼 있음 (x.org x_server < 21.1.23 또는 x.org xwayland < 24.1.12).
  2. 공격자는 X 서버에 연결할 수 있는 로컬 사용자 혹은 컨테이너이며, X 소켓 파일에 접근 권한을 가짐(UID/GID 허용).
  3. X 서버가 root 권한으로 실행 중이면 권한 상승 가능, 그렇지 않으면 서비스 거부(DoS) 효과.

• 단계별 흐름

  1. 정찰 – xwininfo, xdpyinfo 등으로 디스플레이 번호와 X 서버 버전을 확인; /proc/*/fd 로 X 소켓 파일 존재 여부 탐색.
  2. 초기 접근 – XOpenDisplay() 로 정상적인 클라이언트 세션을 수립(네트워크 바인딩이 있으면 원격에서도 가능).
  3. 트리거 입력 구성 – XKB 요청에 key_type->numLevels 값을 XkbMaxShiftLevel * XkbNumKbdGroups + N (N>0) 로 설정하고, 비정규화된 shift level 데이터를 포함시킴. CheckKeyTypes() 가 경계 검사를 수행하지 않아 스택 버퍼를 초과 기록.
  4. 실행·권한 획득 – 오버플로우가 반환 주소 혹은 함수 포인터를 덮어, 공격자가 제어 가능한 ROP 체인/쉘코드 실행. 서버 프로세스 권한 그대로 적용되므로 root일 경우 시스템 전체 장악.
  5. 지속·영향 – 루트 쉘 확보 후 systemd 서비스 파일 조작, 커널 모듈 로드 등 영구화; 혹은 단순히 X 서버를 크래시시켜 서비스 거부 상태 유지.

• CVSS 벡터와 실제 조건 매핑

  • AV:L (Local) → 로컬 소켓/동일 호스트 연결이 전제.
  • AC:L (Low) → 특별한 권한 상승 없이도 X 프로토콜을 사용할 수 있음.
  • PR:L (Low) → 일반 사용자(UID 비루트)라도 접근 가능.
  • UI:N (None) → 사용자 인터랙션 불필요, 자동화된 스크립트로 수행 가능.

• 추정: 원격 공격은 X 서버가 TCP 바인딩(‑listen tcp) 되어 있을 때만 현실성 있음(실제 운영 환경에서는 대부분 비활성).

악용 가능성: 이 취약점은 AV:L·AC:L·PR:L·UI:N 벡터에 따라 로컬 환경에서 동일 사용자(또는 낮은 권한)만으로 접근이 가능하므로, 원격 공격자는 먼저 대상 시스템에 로컬 계정이나 X 세션을 확보해야 합니다. CheckKeyTypes() 함수는 X11 프로토콜의 XkbSetMap 등 키보드 설정 요청에서 전달되는 key type 필드를 검증하지 않으며, 이 파라미터가 XkbMaxShiftLevel·XkbNumKbdGroups 범위를 초과하도록 조작하면 스택 버퍼 오버플로우가 발생합니다. 공격 표면은 X 서버와 Xwayland이 바인딩하는 로컬 UNIX 소켓(예: /tmp/.X11-unix) 및 해당 소켓을 통해 전송되는 XKB 관련 요청에 국한됩니다. EPSS 0.00161이라는 실측값은 현재까지 관찰된 악용 사례는 드물지만, 완전히 배제되지 않는 현실적인 위협임을 시사합니다. KEV 목록에 등재되지 않은 점은 공개적으로 보고된 공격이 거의 없다는 의미이며, 이는 실제로 악용될 경우 탐지와 대응이 어려울 수 있음을 반영합니다. 따라서 이 취약점은 hard 등급으로 평가되며, 로컬 접근 권한 확보 후 정밀하게 조작된 XKB 파라미터를 전송해야만 성공적인 코드 실행 또는 서비스 중단을 달성할 수 있습니다.

• 성공 시 루트 권한 상승: X 서버가 시스템 서비스(root)로 실행될 경우 전체 시스템 제어권 획득.
• 서비스 거부: 버퍼 오버플로우에 의해 X 서버 크래시 → GUI 세션 전면 중단, 업무 연속성 저해.

• CWE‑121 (Stack-based Buffer Overflow) – 기본 메모리 손상 패턴.
• CVE-2025-26597: 이전 XKB 키맵 검증 오류의 미완성 수정이 이번 버그를 야기함(직접적인 체인).
• 추정: 동일 프로세스 메모리 영역을 타깃으로 하는 다른 로컬 권한 상승 취약점(CWE‑787 등)과 결합하면, 초기 접근 없이도 루트 쉘 획득 가능.

• X 서버 로그(/var/log/Xorg.*)에 비정상적인 XKB extension 요청이 기록되는 경우(특히 key_type 필드 길이가 비정상적으로 큰 이벤트).
• Auditd 또는 SELinux 로그에서 untrusted UID 가 /tmp/.X11-unix/* 소켓에 접근한 흔적.
• 시스템 모니터링 툴로 Xorg 프로세스가 비정상적인 메모리 사용 급증 혹은 즉시 종료되는 패턴 감지.

• 패치 적용: 최신 패키지(xorg-x11-server-core >= 21.1.23, xwayland >= 24.1.12)로 업데이트.
• 접근 제한: X 서버를 ‑nolisten tcp 옵션으로 실행해 네트워크 바인딩 차단; Unix 소켓 파일 권한을 660(root:tty) 혹은 전용 그룹만 접근 가능하도록 조정.
• 권한 최소화: 시스템d-logind 를 이용해 X 서버를 비루트 사용자(systemd‑logind 자동 로그인)로 실행하거나 Wayland 기반 세션으로 전환.
• 보안 강화: SELinux/AppArmor 정책으로 Xorg/Xwayland 프로세스와 소켓 접근을 격리하고, 컨테이너가 호스트 X 소켓에 마운트되지 않도록 제한.

다중 소스에서 일관성이 확인된 취약점이며, EPSS 0.00161(실측 악용 예측)과 CVSS 7.8 점수를 근거로 이번 주 내(우선순위 scheduled) 패치와 방어 조치를 시행해야 합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00161 · exploit=hard · in_scope=None