[방어] 분석 — CVE-2026-56003

• 심각도 high · CVSS 8.5 · EPSS 0.00373 · 악용난이도 hard

인증된 X 클라이언트가 조작된 PCF 폰트 파일을 X 프로토콜을 통해 전송하면, libXfont2 2.0.8 이전 버전의 ComputeScaledProperties() 가 속성 버퍼 길이 검사를 수행하지 않아 힙 버퍼 오버플로우가 발생합니다. 이 오버플로우를 이용해 메모리 구조를 손상시키면 X 서버 프로세스가 크래시하거나 임의 코드를 실행할 수 있습니다.

악용 가능성: 이 취약점은 AV:N (네트워크를 통한 원격 접근) 하지만 PR:L (낮은 권한) 및 UI:N (사용자 개입 없음) 조건을 만족해야 하므로, 공격자는 X 서버에 인증된 X 클라이언트 세션을 먼저 확보해야 합니다. AC:H (높은 난이도)로 설정돼 있어, 정상적인 인증 절차와 X 프로토콜의 복잡한 핸드셰이크를 거쳐야만 libXfont2 ComputeScaledProperties()에 전달되는 PCF 파일을 조작할 수 있습니다. 실제 위협 정도는 EPSS 0.00373 이라는 매우 낮은 실측값과 KEV 목록에 등재되지 않은 점에서 확인되듯, 현재까지 보고된 악용 사례가 거의 없으며 공격자가 성공적으로 활용하기 위해서는 특수한 환경(예: 내부 네트워크의 X 서버에 접근 가능한 계정)과 맞춤형 PCF 파일을 준비해야 합니다. 노출되는 공격 표면은 TCP 포트 6000‑6063 등에서 서비스되는 X 서버 와, 해당 서버가 로드하는 libXfont2 라이브러리의 PCF 폰트 파일 파싱 루틴입니다. 취약이 트리거되는 구체적 파라미터는 PCF 파일 내부의 property 버퍼에 과도한 크기의 데이터를 삽입하여 size‑check가 누락된 heap buffer overflow를 유발하는 것입니다. 따라서 공격자는 정상적인 X 클라이언트 인증을 마친 뒤, 악성 PCF 파일을 서버에 로드하도록 유도하거나 직접 전송해야만 코드를 실행할 수 있습니다. 이러한 조건들 때문에 이 취약점은 “hard” 등급이 부여되었으며, 실제 악용 가능성은 낮지만 내부 네트워크에서 인증된 X 클라이언트를 운영 중인 환경에서는 여전히 주의가 필요합니다.

오버플로우 성공 시 X 서버가 비정상 종료되어 서비스 가용성이 즉각 상실됩니다(DoS). 동시에 메모리 조작이 성공하면 ROP 체인을 구성해 루트 권한으로 쉘을 얻어 디스플레이 세션 전체를 장악하고, 키 입력·스크린 캡처·내부망 침투까지 확장될 수 있습니다.

• 동일한 메모리 손상(CWE‑119) 패턴은 libfontconfig·freetype 등 다른 폰트 파싱 라이브러리에서도 보고되었습니다.
• 인증 우회(CWE‑287) 취약점과 결합하면 비인증 클라이언트도 공격 표면에 접근할 수 있습니다.

로그 지표

• /var/log/Xorg.*.log : “PCF”, “invalid length”, “overflow”, “failed to load font” 문자열이 포함된 항목.
• auditd (type=EXECVE) : Xorg 프로세스가 비정상적인 mmap(PROT_EXEC) 또는 신뢰되지 않은 폰트 경로를 로드한 기록.

SIEM 쿼리 예시 (Splunk/Elastic)

 1source="/var/log/Xorg.*.log" AND ("PCF" OR "font") AND ("invalid length" OR "overflow" OR "failed to load")

 1index=auditd event.type=EXECVE process.name="Xorg" NOT command_line=*"/usr/share/fonts/pcf"* 

정규식 예시 (로그 파싱)
PCF.*(invalid length|overflow|failed to load)

오탐 튜닝

• 정상 폰트 로드 시 “failed to load”가 기록될 수 있으므로, 파일 경로가 /usr/share/fonts/ 등 신뢰된 디렉터리인 경우는 제외하고 알림을 제한합니다.
• 내부 LAN에서만 허용되는 X 클라이언트 IP가 아닌 경우에만 경고를 발생시켜 원격 공격 시 오탐을 최소화합니다.

즉시(긴급 차단) – 오늘 당장 적용할 임시 조치

• 방화벽에서 X11 TCP 포트 6000‑6063 차단: iptables -A INPUT -p tcp --dport 6000:6063 -j DROP
  구현 난이도: 낮음 / 운영 영향: 원격 X11 애플리케이션 사용 불가, 로컬 콘솔만 가능.
  검증 방법: netstat -tlnp | grep 6000 로 포트가 열려 있지 않은지 확인.

단기(완화) – 패치 전까지 위험을 낮추는 조치

• X 서버를 TCP 리스닝 없이 실행: Xorg -nolisten tcp 혹은 /etc/X11/xinit/xserverrc에 해당 옵션 추가.
• X 인증 강화: xhost -remove 로 모든 호스트 차단 후, 필요한 호스트만 xauth 쿠키로 허용.
• SELinux/AppArmor 정책 적용 – Xorg이 /usr/share/fonts/pcf/ 외 경로 접근을 제한하고, mmap(PROT_EXEC) 시도를 거부하도록 규칙 추가.

근본(해결) – 패치·업그레이드 절차

• libXfont2를 2.0.8 이상 버전으로 업그레이드하거나 배포판 업데이트 적용.
• 업그레이드 후 ldd $(which Xorg) | grep libXfont 로 링크된 버전을 확인하고, 재시작하여 정상 동작을 검증합니다.

우선순위 및 검증
다중 소스에서 일관성이 확인됐으며 EPSS 0.00373(실제 악용 가능성 낮음)과 CVSS 8.5(심각도 높음)를 종합해 이번 주 내 패치 적용을 목표로 합니다(scheduled). 즉시 차단으로 DoS 위험을 최소화하고, 단기·근본 조치를 순차적으로 진행하면 RCE 리스크도 동시에 완화됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.5 · non-KEV · EPSS=0.00373 · exploit=hard · in_scope=None