[방어] 분석 — CVE-2026-55999

• 심각도 high · CVSS 8.5 · EPSS 0.00269 · 악용난이도 hard

로컬 사용자가 X 연결을 통해 악의적인 PCX 폰트 파일을 제공하면, X 서버는 SetFont 호출 시 글리프 경계 검사를 수행하지 않아 힙 버퍼 오버플로우가 발생합니다. 이 과정은 메모리를 손상시켜 임의 코드 실행이나 서비스 중단으로 이어질 수 있습니다.

악용 가능성: 이 취약점은 AV:N (네트워크 접근)으로 외부에서 X 서버에 직접 연결할 수 있으면 공격이 가능하지만, AC:H (높은 난이도) 때문에 공격자는 X 프로토콜을 통해 PCX‑형식 폰트를 제공하고 SetFont 요청을 조작해야 하므로 전문적인 지식과 환경 구성이 요구됩니다. PR:L (낮은 권한)으로, X 서버에 일반 사용자 수준의 접근만 있으면 충분히 악용할 수 있어 초기 진입 장벽은 낮습니다. UI:N (사용자 상호 작용 없음)이라 공격이 자동화될 수 있지만, X 클라이언트가 실행 중이어야 하며 TCP 포트 6000‑600x 또는 로컬 소켓을 통해 서버와 통신해야 하는 제약이 존재합니다. EPSS = 0.00269 이라는 매우 낮은 실측 값은 현재까지 실제 공격 사례가 거의 없음을 보여주어,

공격이 성공하면 X 서버 프로세스가 비정상 종료하거나 메모리 영역에 쉘코드를 삽입해 권한 상승이 가능해집니다. 결과적으로 로컬 데스크톱 환경 전체가 영향을 받으며, 악성 사용자는 다른 사용자 세션을 탈취하거나 시스템 전반에 대한 제어권을 획득할 수 있습니다.

• 동일한 SetFont 경로를 이용하는 과거 Xorg 메모리 손상 취약점(CWE‑122)과 연계될 가능성이 있습니다.
• 악용된 메모리 손상을 통해 SELinux/AppArmor 정책 우회 공격이나, XDMCP 인증 회피와 같은 추가 체이닝 시나리오가 존재합니다.

• 로그 지표: /var/log/Xorg.*.log 파일에 “SetFont” 문자열과 동시에 “PCX” 또는 “overflow” 키워드가 기록됩니다. 또한 커널 로그(dmesg)에 xorg‑server 프로세스의 OOPS 메시지가 나타날 수 있습니다.
• SIEM 규칙 예시
  1. source="xorg_log" AND message =~ /SetFont.*PCX/ → 경고 레벨 “Medium”.
  2. source="kernel" AND message =~ /xorg-server.*segfault|overflow/ → 경고 레벨 “High”.
  3. source="auditd" AND exe="/usr/bin/Xorg" AND syscall=open AND name=~".*\.pcx$" → 경고 레벨 “Low”.
• 오탐 튜닝: 정상적인 PCX 폰트 로드가 필요한 레거시 애플리케이션이 존재할 경우, 위 규칙에 user != "root" 또는 process_name != "legacy_app" 조건을 추가해 오탐을 감소시킵니다.

• 즉시(긴급 차단)

  • X 서버 설정 파일(xorg.conf 혹은 /etc/X11/xorg.conf.d/)에 Section "Files"를 추가하고 Option "FontPath" "/usr/share/fonts/truetype"와 같이 PCX 폰트가 포함되지 않은 디렉터리만 지정합니다.
  • 구현 난이도: 낮음 / 운영 영향: PCX 포맷을 사용하는 애플리케이션은 폰트를 찾지 못해 표시 오류 발생 / 검증 방법: X 서버 재시작 후 /var/log/Xorg.*.log에 PCX 로드 시도가 없는지 확인.

• 단기(완화)

  • SELinux/AppArmor 정책을 추가하여 xorg-server가 .pcx 확장자를 가진 파일을 열지 못하도록 차단합니다 (auditallow xorg_server_t file_type:dir { read open } 규칙에 !regex("^.*\.pcx$")).
  • 로컬 X 연결 인증을 강화하고, xhost 허용 목록을 최소화하며, 필요 시 Xauthority 파일 권한을 600으로 제한합니다.
  • 구현 난이도: 중간 / 운영 영향: 기존에 무인 인증으로 사용하던 스크립트가 차단될 수 있음 / 검증 방법: auditctl -l 로 정책 적용 여부 확인, 정상 사용자 세션에서 폰트 로드 테스트.

• 근본(해결)

  • Xorg‑server를 버전 21.2.24 이상으로, XWayland를 버전 24.1.13 이상으로 업그레이드합니다. 패키지 매니저(dnf, apt)를 이용한 최신 릴리스 적용 후 Xorg -version 명령으로 버전을 확인합니다.
  • 구현 난이도: 높음 (시스템 재부팅 및 서비스 중단 필요) / 운영 영향: X 세션 재시작에 따른 일시적 서비스 중단 / 검증 방법: 업그레이드 후 동일한 PCX 폰트 파일을 로드해도 크래시가 발생하지 않는지 테스트.

• 잔여 리스크

  • 패치 적용 전까지는 비PCX 형식에서도 유사한 경계 검사 결함이 존재할 가능성이 있으며, SELinux/AppArmor 정책이 우회될 경우 여전히 위험합니다. 따라서 패치를 적용한 뒤에도 정기적인 로그 모니터링과 취약점 스캐닝을 지속해야 합니다.

• 인시던트 대응 플레이북

  1. X 서버 크래시 또는 OOPS 발생 시 journalctl -u display-manager와 /var/log/Xorg.*.log를 수집합니다.
  2. 해당 호스트의 네트워크 연결을 격리하고, 의심되는 PCX 파일을 샌드박스에서 재현해 원인 분석을 수행합니다.
  3. 임시 조치로 위 “즉시 차단” 설정을 적용한 뒤 X 서버를 재시작합니다.
  4. 근본 해결이 가능한 경우, 최신 패치를 배포하고 시스템 전반에 동일 정책을 적용합니다.

위와 같이 다중 소스에서 일관성이 확인된(CVE-2026-55999) 취약점이며, EPSS 0.00269이라는 낮은 실제 악용 확률에도 불구하고 CVSS 8.5·AV:N·PR:L·UI:N·S:C·C:H·I:H·A:H 라는 높은 위험성을 감안해 이번 주 내(우선순위 scheduled) 대응이 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.5 · non-KEV · EPSS=0.00269 · exploit=hard · in_scope=None