[분석가] 분석 — CVE-2026-9198

• 심각도 critical · CVSS 9.8 · EPSS 0.01886 · 악용난이도 easy · KEV

인증되지 않은 원격 공격자가 두 개의 API 엔드포인트를 연속적으로 호출하는 'API 체이닝'을 통해 시스템 권한을 탈취합니다.

1. 권한 상승: /api/v1/auto_login 엔드포인트에 접근하여 인증 없이 SUPERUSER 토큰을 획득합니다.
2. 임의 코드 실행: 획득한 토큰을 사용하여 /api/v1/validate/code 엔드포인트로 Python 코드를 전송하며, 서버 내부의 exec() 함수가 이를 처리하는 과정에서 RCE가 발생합니다.

악용 가능성: 본 취약점은 공격 난이도가 매우 낮으며(Easy), 실제 악용 가능성이 극히 높은 상태입니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N이 나타내듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특별한 사용자 상호작용이나 권한 없이 즉시 접근 가능한 구조입니다. 구체적인 공격 표면은 /api/v1/auto_login과 /api/v1/validate/code 엔드포인트이며, 전자를 통해 SUPERUSER 토큰을 획득한 뒤 후자의 exec() 함수를 트리거하여 원격 코드 실행(RCE)을 달성하는 체이닝 방식으로 작동합니다. 이론적 위험성을 넘어 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은 이미 야생(In-the-wild)에서 실제 공격 사례가 관측되었음을 의미하며, EPSS 수치 0.01886은 현재 시점에서 이 취약점이 악용될 확률이 통계적으로 유의미함을 뒷받침합니다. 따라서 기본 설정으로 배포된 Langflow 환경은 매우 직접적인 위협에 노출되어 있으며, 공격자가 복잡한 페이로드 설계 없이 공개된 API 경로만으로 시스템 전체 권한을 탈취할 수 있는 고위험 상태입니다.

• 영향 제품 및 규모: IBM Langflow OSS 1.0.0 $\le$ x $\le$ 1.10.0 버전이 대상이며, 다중 소스 데이터 교차검증을 통해 범위의 일관성이 확인되었습니다(신뢰도 1.0). 기본 배포 설정 환경에서 가장 직접적인 위험에 노출됩니다.
• 기술적 위험: SUPERUSER 권한으로 코드가 실행되므로 공격자는 대상 서버의 완전한 제어권을 획득합니다. 특히, 탈취한 서버를 거점으로 내부 네트워크의 다른 자산으로 침투하는 횡적 이동(Lateral Movement) 및 Pivot 포인트로 활용될 가능성이 매우 높습니다. 이는 단순 단일 서버 장악을 넘어 내부망 전체의 보안 경계가 무너지는 치명적인 리스크입니다.
• 비즈니스 리스크: 관리자 권한 탈취에 따른 민감 데이터 유출은 규제 및 컴플라이언스 위반으로 직결됩니다. 또한, 시스템 전체 장악 시 서비스 가용성이 완전히 상실될 수 있으며 기업의 기술적 신뢰도에 심각한 타격을 줍니다.

• 유형: 인증 우회 $\rightarrow$ 권한 상승 $\rightarrow$ 임의 코드 실행(RCE)으로 이어지는 논리적 체이닝 패턴입니다. 단일 지점이 아닌 API 간의 연결을 통해 공격 난이도를 낮추고 파급력을 극대화했습니다.

• 트래픽 시퀀스: 동일 IP에서 /api/v1/auto_login 호출 직후 짧은 시간 내에 /api/v1/validate/code로 이어지는 비정상적인 요청 패턴을 모니터링합니다.
• 페이로드 지표: /api/v1/validate/code 요청 본문 내 os.system(), subprocess, socket, eval() 등 시스템 명령 실행 및 네트워크 연결 관련 Python 예약어 포함 여부를 검사합니다.

• 우선순위 판단: Immediate (24시간 내 조치). CVSS 9.8의 심각도, KEV(Known Exploited Vulnerabilities) 등재로 인한 실제 악용 관측, 그리고 실측 EPSS 수치(0.01886)와 easy 수준의 공격 난이도를 근거로 최우선 순위를 결정하였습니다. (EPSS 수치는 이론적 심각도와 별개로 야생에서의 실제 악용 예측치를 나타내므로 즉시 대응의 핵심 근거가 됩니다.)
• 근본 해결: 영향 범위 내의 IBM Langflow OSS 버전을 취약점이 해결된 최신 보안 패치 버전으로 업데이트하십시오.
• 즉시 조치: 패치 적용 전까지 WAF 또는 네트워크 방화벽을 통해 /api/v1/auto_login 및 /api/v1/validate/code 엔드포인트에 대한 외부 접근을 차단하고, 내부망 노출 여부 점검 및 네트워크 세분화를 수행하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.01886 · exploit=easy · in_scope=None