[분석가] 분석 — CVE-2026-50263

• 심각도 medium · CVSS 5.5 · EPSS 0.00141 · 악용난이도 hard

• 클라이언트가 X 서버에 CreateSaverWindow() 호출 → 창 속성 변경 → 화면 보호기 강제 활성화.
• 해제된 메모리를 다시 읽게 되어 인접 메모리(인증 토큰·키 등) 내용이 노출됨.
• 로컬 X 세션 권한만 있으면 재현 가능(AV:L, PR:L); 원격 네트워크 접근은 요구되지 않음.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 공격자가 물리적·로컬 접근 권한을 가지고 X 서버에 직접 연결해야 하며, 공격 수행 자체는 복잡도가 낮고 추가적인 사용자 상호작용이 필요 없음을 의미합니다. 실제 조건으로는 로컬 사용자가 X 디스플레이 소켓

• 기술적 위험: 성공 시 메모리 내 민감 정보가 외부에 유출될 수 있음(C:H). 시스템 중단·권한 상승 등 직접적인 파급 효과는 없음.
• 영향 제품: X.Org X server < 21.1.23, Xwayland < 24.1.12 및 해당 패키지를 포함하는 Red Hat Enterprise Linux 배포판 전반. 다중 소스 교차검증을 통해 일관된 영향 범위가 확인됨.
• 노출 규모: 위 제품이 광범위하게 사용되는 서버·워크스테이션 환경에서 잠재적 데이터 유출 대상이 다수일 수 있음(품질 신호에 따라 공급망 취약점 특성상 영향 범위가 넓음).
• 비즈니스 리스크: 민감 정보 유출 시 GDPR·PCI‑DSS 등 규제 위반 위험, 고객 신뢰 저하 및 법적 책임 발생 가능. EPSS 0.00141(실측 악용 예측)로 현재 관찰된 악용 사례는 거의 없지만, 장기간 누출될 경우 조직 평판에 큰 영향을 미칠 수 있음.

• 동일 함수 CreateSaverWindow()를 이용한 과거 X 서버 CWE‑416(use‑after‑free) 메모리 손상 취약점과 유사한 패턴. 현재 보고된 체이닝 사례는 없으며, 추가 권한 상승(CVE‑2024‑XXXX 등)으로 연결될 가능성은 추정 수준이다.

• X 서버 로그(Xorg.0.log)에 CreateSaverWindow 호출 직후 window attribute change와 ScreenSaver activation이 연속적으로 기록되는 경우.
• 커널·시스템 로그(dmesg, /var/log/messages)에 “use‑after‑free” 경고, SEGFAULT, Xorg 재시작 메시지가 나타나는 경우.
• SIEM/로그 수집 규칙 예: CreateSaverWindow → ChangeWindowAttributes → ScreenSaverOn 순서 이벤트 감지.

• 즉시 조치
  • 공식 패키지 업데이트 적용: X.Org ≥ 21.1.23, Xwayland ≥ 24.1.12 또는 Red Hat 최신 보안 RPM 설치.
  • 패치를 즉시 적용할 수 없는 경우 화면 보호기 기능을 비활성화(xset s off)하고, 신뢰할 수 없는 클라이언트의 X 접속을 제한(xhost 정책 강화)한다.
• 보조 방어
  • SELinux/AppArmor 프로파일로 X 서버 권한 최소화(불필요한 cap_sys_admin 차단).
  • Xorg 서비스 비정상 종료 시 kernel audit 규칙 및 SIEM 알림 설정으로 로그·메트릭 수집; 필요시 제한된 영역만 systemd-coredump 로 저장하도록 구성.
• 장기 해결
  • 정기적인 패키지 업데이트와 보안 알림 구독을 통해 향후 유사 메모리‑오염 취약점에 대비한다.
  • EPSS·우선순위 논리에 따라 현재는 “monitor” 수준이지만, 패치 적용 시점까지 지속적인 로그 모니터링과 위험 재평가를 수행한다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00141 · exploit=hard · in_scope=None