[단독분석] 분석 — CVE-2026-10702

• 심각도 medium · CVSS 4.3 · EPSS 0.00553 · 악용난이도 hard

• 원격 공격자는 악의적인 JavaScript 코드를 웹 페이지에 삽입해 JIT 컴파일 단계에서 오류를 유발합니다.
• 해당 오류는 브라우저 프로세스의 비정상 종료(크래시)로 이어지며, UI 레이어가 재시작될 수 있습니다.
• 현재 알려진 PoC는 없으며, 공격 성공 시 직접적인 코드 실행은 보고되지 않았습니다.

악용 가능성: 이 취약점(JIT miscompilation in the JavaScript Engine, Firefox 151.0.3에 수정)은 AV:N으로 네트워크를 통해 악성 스크립트를 전달하기만 하면 공격을 시작할 수 있습니다.
AC:L은 공격 구성이 낮은 복잡도로 가능함을 의미하며, 공개된 코드 패턴만으로도 이용이 가능합니다.
PR:N은 대상 브라우저에서 별도의 인증이 필요 없으므로, 취약 버전을 실행 중인 모든 사용자가 잠재적 표적이 됩니다.
UI:R은 피해자가 악성 스크립트를 포함한 웹 페이지를 로드하거나 클릭하는 사용자 행동을 트리거로 요구합니다.
EPSS = 0.00553 및 KEV 미등재는 현재까지 실제 악용 사례가 거의 관측되지 않아, 이론적 심각도와 달리 실질적인 위협 수준이 낮음을 보여줍니다.
공격 표면은 HTTP/HTTPS를 통해 제공되는 웹 페이지의 JavaScript 엔진이며, 원격 사이트나 광고 등에서 전달되는 스크립트가 노출된 엔드포인트·파라미터가 됩니다.

• 기술적 위험: JIT 오동작으로 인한 브라우저 프로세스 크래시 → 서비스 일시 중단(Availability Low). 데이터 유출·무결성 침해는 CVSS에 포함되지 않음.
• 비즈니스 리스크:
  • 사용자 경험 악화 및 고객 지원 요청 증가.
  • 기업 내부 포털이나 SaaS 웹앱을 Firefox에서 이용할 경우 일시적인 접근 불가 가능성.
  • 규제·컴플라이언스 측면에서는 직접적인 위반 요인이 되지 않음.
• 노출 규모: Firefox 151.0.3 미만 버전을 사용하는 모든 엔드포인트(데스크톱, 노트북 등)에서 영향을 받으며, 교차검증 결과(다중 소스에서 일관성이 확인됐다)로 신뢰도 1.0을 확보했습니다.

• JIT 최적화 오류는 일반적으로 메모리 손상으로 연결될 가능성이 있으나, 현재 CVE‑2026‑10702는 CWE 미분류이며 별도의 메모리 오버플로우(CVE)와 직접적인 체이닝 사례가 보고되지 않았습니다.
• 향후 동일 엔진을 대상으로 하는 메모리 손상 취약점과 조합될 경우, 보다 높은 심각도로 전이될 가능성이 추정됩니다.

• 브라우저 크래시 로그: Firefox 실행 파일의 비정상 종료 이벤트(Windows Event Log /Application Error)와 함께 특정 JavaScript URL 패턴을 추적.
• JIT 컴파일 트레이스: about:performance 또는 Telemetry에서 “JIT compilation failure” 메시지 감시.
• 네트워크 레벨: 비정상적으로 긴 문자열·루프를 포함한 JavaScript 페이로드가 전송될 경우, IDS/IPS에서 정규식 예시(\bfor\s*\(.*;.*;.*\)\s*{[^}]*}) 등으로 알림 설정 가능.

• 즉시 조치: 모든 엔드포인트를 Firefox 151.0.3 이상 버전으로 패치합니다.
• 임시 방어: JIT 최적화를 비활성화(javascript.options.baselinejit=false, javascript.options.asmjs=false)하여 영향을 회피하지만 성능 저하가 발생할 수 있습니다.
• 모니터링: EPSS 0.00553(실측 악용 확률 낮음)과 KEV 미등재 상태를 고려해 현재는 “monitor” 우선순위이며, 크래시 및 이상 징후 발생 시 즉시 대응 프로세스를 가동하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=4.3 · non-KEV · EPSS=0.00553 · exploit=hard · in_scope=None