[방어] 분석 — CVE-2026-15551

• 심각도 medium · CVSS 5.5 · EPSS 0.00081 · 악용난이도 hard

• 원리: rlottie 라이브러리가 애니메이션 파일(.json 등)을 파싱하는 과정에서 정수 오버플로우(Integer Overflow/Wraparound)가 발생하여, 실제 필요한 메모리보다 적은 공간이 할당됨.
• 경로: 조작된 Lottie 파일을 로드할 때 할당된 버퍼의 경계를 넘어 데이터가 기록되는 Buffer Overflow로 이어짐.
• 단계: 조작된 파일 생성 $\rightarrow$ 대상 애플리케이션의 rlottie 라이브러리로 로드 $\rightarrow$ 정수 오버플로우 유도 $\rightarrow$ 메모리 오염 및 실행 흐름 제어.
• 특이사항: CVSS 벡터(AV:L/PR:L/UI:R)상 로컬 공격으로 분류되나, 동료 분석가들의 지적대로 WebView, 메신저 프리뷰 등 외부 입력을 자동으로 렌더링하는 접점이 있다면 원격 트리거 가능성이 존재함.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 공격자가 시스템에 직접 접근 가능한 상태(AV:L)에서 매우 까다로운 조건(AC:H)을 충족해야 하기 때문입니다. 특히 낮은 권한의 사용자 계정(PR:L)을 확보한 상태에서, 사용자가 조작된 .lottie 파일을 열도록 유도하는 상호작용(UI:R)이 필수적으로 전제되어야 합니다. 공격 표면은 rlottie 라이브러리가 처리하는 Lottie 애니메이션 파일의 파싱 프로세스이며, 특히 정수 오버플로우(Integer Overflow)를 유발하는 특정 파라미터 값이 트리거 조건이 됩니다. EPSS 수치가 0.00081로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 야생(In-the-wild)에서 이 취약점을 이용한 실제 공격 사례가 드물거나 자동화된 익스플로잇의 보급률이 낮음을 시사합니다. 결과적으로 이론적인 심각도는 높으나, 로컬 접근 권한 확보와 사용자 유도라는 다단계 제약 조건으로 인해 즉각적인 대규모 악용 가능성은 상대적으로 낮습니다.

• 가용성 저하: 메모리 오염으로 인한 프로세스 비정상 종료(Crash) 및 서비스 거부(DoS).
• 무결성/기밀성 침해: 버퍼 오버플로우를 통해 임의 코드 실행(RCE)이 가능할 경우, 해당 프로세스의 권한 내에서 데이터 탈취 및 시스템 제어권 획득 위험.

• 유형: 정수 오버플로우 $\rightarrow$ 힙/스택 버퍼 오버플로우 체이닝.
• 연계 가능성: 샌드박스 우회 취약점과 결합될 경우, 라이브러리 수준의 취약점이 시스템 전체 권한 탈취로 확대될 수 있음.

본 취약점은 입력값에 의한 메모리 오염이 핵심이므로, 파일 파싱 단계의 Crash 로그와 비정상적인 프로세스 동작을 감시해야 함.

• 로그 지표:

  • OS/Application Log: Segmentation Fault, Heap Corruption, Access Violation 등의 에러 메시지.
  • EDR/System Log: rlottie 라이브러리를 사용하는 프로세스의 비정상적인 자식 프로세스 생성(Shell spawn).

• 탐지 규칙 예시:

  1. Crash 기반 탐지 (SIEM 의사코드):
     sql복사

      1SELECT timestamp, process_name, error_code, stack_trace 
      2FROM system_logs 
      3WHERE (error_code = 'SEGFAULT' OR message LIKE '%buffer overflow%') 
      4AND process_name IN ('WebView', 'Messenger', 'Browser') 
      5AND stack_trace LIKE '%rlottie%'

  2. 비정상 자식 프로세스 탐지 (EDR/SIEM):
     sql복사

      1SELECT event_id, parent_process, child_process 
      2FROM process_events 
      3WHERE parent_process IN ('WebView', 'Messenger') 
      4AND child_process IN ('cmd.exe', '/bin/sh', 'powershell.exe')

• 오탐 튜닝: 단순 애플리케이션 업데이트 중 발생하는 일시적 Crash나, 정상적인 서비스 업데이트 프로세스에 의한 자식 프로세스 생성은 화이트리스트 처리하여 노이즈 제거.

다중 소스 데이터의 일관성이 확인되었으나, EPSS 수치가 0.00081(백분위 0.00254)로 매우 낮고 exploit 등급이 'hard'이며 KEV에 미등재된 점을 근거로 우선순위를 monitor로 결정함. 하지만 잠재적 원격 트리거 경로를 고려하여 다음과 같이 대응함.

• 즉시 (긴급 차단): 신뢰할 수 없는 출처의 Lottie 애니메이션 파일(.json) 업로드 및 렌더링 기능 일시 제한.
  • 난이도: 낮음 / 운영 영향: 높음(일부 UI 기능 마비) / 검증: 파일 업로드 시 차단 여부 확인.
• 단기 (완화): 입력값 검증 레이어 추가 및 모니터링 강화.
  • 내용: Lottie 파일 로드 전 파일 크기 제한(Max Size Limit)을 설정하고, 앞서 정의한 Crash 탐지 룰을 EDR에 배포하여 실시간 감시.
  • 난이도: 중간 / 운영 영향: 낮음 / 검증: 비정상적으로 큰 파일 로드 시 거부 확인 및 알람 발생 여부 테스트.
• 근본 (해결): rlottie 라이브러리 최신 패치 버전 업데이트.
  • 내용: 정수 오버플로우가 수정된 공식 보안 패치를 적용하고 빌드 버전을 갱신.
  • 난이도: 중간 / 운영 영향: 낮음(재배포 필요) / 검증: 패치 버전 확인 및 알려진 PoC(존재 시) 테스트.

잔여 리스크: 패치 이후에도 동일한 라이브러리 내 다른 정수 처리 로직에서 유사한 취약점이 존재할 가능성이 있으므로, 지속적인 퍼징(Fuzzing) 기반의 보안 검토가 필요함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00081 · exploit=hard · in_scope=None