[방어] 분석 — CVE-2026-10702

• 심각도 medium · CVSS 4.3 · EPSS 0.00553 · 악용난이도 hard

악성 JavaScript가 Firefox 내부 JIT 엔진에 전달되면 특정 최적화 패스에서 객체 레이아웃을 오인해 메모리를 오염시킵니다. 이 과정에서 Type Confusion → Arbitrary Read/Write 가 발생하고, 이후 샌드박스 경계 우회를 통해 임의 코드 실행이 가능해집니다. 공격 성공에는 사용자가 악성 페이지를 열어 UI Required(R) 상태가 되는 것이 전제됩니다.

악용 가능성: 1. CVSS 벡터 AV:N/AC:L/PR:N/UI:R는 공격자가 네트워크를 통해 직접 접근할 수 있고, 복잡도가 낮으며(코드 작성만으로 가능), 권한이 전혀 필요하지 않지만 사용자의 클릭이나 페이지 로딩 등 최소한의 사용자 상호작용(UI R)이 요구된다는 의미입니다.
2. 따라서 공격자는 악성 JavaScript를 포함한 웹 페이지를 준비하고, 피해자가 해당 페이지에 접속하도록 유도하면 충분히 이용이 가능합니다.
3. EPSS 0.00553이라는 수치는 현재까지 실제로 관찰된 성공적인 악용 사례가 매우 드물다는 것을 나타내지만, 이는 취약점 자체의 이론적 위험도가 낮다는 뜻이 아니라 아직 광범위한 공격이 전개되지 않았음을 의미합니다.
4. KEV(공격에 활용되는 주요 취약점) 목록에 등재되지 않은 점도 현재까지 대규모 악용이 보고되지 않았음을 반영하지만, JIT miscompilation은 메모리 손상 및 원격 코드 실행을 초래할 수 있는

• 메모리 손상으로 Firefox 프로세스가 비정상 종료(크래시)하고 가용성이 저하됩니다.
• Arbitrary Read/Write 를 이용해 브라우저 샌드박스를 탈출하면 내부 네트워크 정보 유출·추가 침투 위험이 존재합니다.
• CVSS 4.3 (A:L) 이지만, 실제 악용 시도는 메모리 오염을 기반으로 한 권한 상승 경로를 제공하므로 기업 환경에서는 고위험군으로 간주될 수 있습니다.

JIT‑related Type Confusion 과 메모리 손상을 이용한 샌드박스 우회는 과거 CVE‑2021‑XXXXX, CVE‑2022‑XXXXX 등과 동일한 공격 흐름을 공유합니다. 따라서 해당 유형의 다른 JIT 취약점이 존재할 경우 연쇄적인 권한 상승 체인에 활용될 가능성이 있습니다.

로그 지표

• Windows EventLog Application/System: Source = MozillaCrashReporter 혹은 ProcessName = firefox.exe 가 비정상 종료(ExitCode != 0)된 이벤트.
• EDR 로그: firefox.exe 프로세스가 EXCEPTION_ACCESS_VIOLATION, EXCEPTION_ILLEGAL_INSTRUCTION 등 JIT 관련 예외 코드를 기록한 경우, StackTrace에 “jit” 문자열 포함 여부 확인.
• 네트워크 트래픽: Firefox가 업데이트 서버(mozilla.org)와 통신하지 못하고 반복적인 HTTP GET/POST 요청을 발생시키는 패턴.

SIEM 탐지 규칙 예시 (KQL)

1️⃣ 비정상 종료 감지

 1Event
 2| where Source == "MozillaCrashReporter"
 3   and ProcessName == "firefox.exe"
 4   and ExitCode != 0
 5| extend Version = extract(@"Firefox/([0-9]+\.[0-9]+\.[0-9]+)", 1, EventData)
 6| where isnotnull(Version) and todouble(split(Version, ".")[0]) < 151 
 7      or (todouble(split(Version, ".")[0]) == 151 and todouble(split(Version, ".")[1]) < 0.3)

2️⃣ JIT 예외 감지

 1EDR_Events
 2| where ProcessName == "firefox.exe"
 3   and ExceptionCode in ("EXCEPTION_ACCESS_VIOLATION","EXCEPTION_ILLEGAL_INSTRUCTION")
 4   and StackTrace contains "jit"
 5| summarize Count = count() by Host, bin(TimeGenerated, 5m)
 6| where Count >= 3

3️⃣ 업데이트 회피 시도 탐지

 1NetworkSession
 2| where InitiatingProcessName == "firefox.exe"
 3   and DestinationDomain !contains "mozilla.org"
 4   and EventCount > 5
 5   and TimeGenerated between (now()-15m) .. now()

오탐 튜닝

• 정상적인 업데이트 실패는 Version 필터링을 강화하고, 동일 호스트에서 연속 3회 이상 발생 시에만 알림을 생성하도록 임계값을 올립니다.
• 일반 메모리 접근 오류와 구분하기 위해 StackTrace에 “jit” 문자열이 포함된 경우만 대상으로 하며, 다른 프로세스(chrome.exe, edge.exe)는 제외합니다.

즉시(긴급 차단) – 엔드포인트 관리 솔루션(EPM)에서 firefox.exe 버전 <151.0.3 실행을 차단하고 해당 바이너리를 격리합니다.

• 구현 난이도: 중‑상 (정책 정의·배포).
• 운영 영향: 해당 버전을 사용하던 사용자에게 “실행 차단” 메시지가 표시되고, 업무용 브라우저가 일시적으로 이용 불가능합니다.
• 검증 방법: 정책 적용 후 firefox.exe 실행 시도 로그에 blocked 항목이 기록되는지 확인.

단기(완화) – 그룹 정책 또는 레지스트리/프리퍼런스 파일을 통해 모든 Firefox 클라이언트의 javascript.options.jit = false 로 설정합니다.

• 구현 난이도: 낮음 (스크립트 배포).
• 운영 영향: JavaScript 실행 성능 저하가 발생하지만, 대부분 업무에 치명적이지 않음.
• 검증 방법: 각 호스트에서 about:config 값이 false 로 유지되는지 확인하고, Firefox 로그에 “JIT disabled” 메시지가 남는지 점검.

근본(해결) – Firefox 151.0.3 이상 버전을 배포합니다. SCCM·Intune 등 자산 관리 도구를 이용해 자동 설치와 버전 검증을 수행합니다.

• 구현 난이도: 중 (패키징·배포).
• 운영 영향: 재시작 필요, 업데이트 창에 따라 일시적 서비스 중단 가능.
• 검증 방법: 배포 후 firefox.exe --version 결과가 “151.0.3” 이상인지 스크립트로 자동 확인.

잔여 리스크 – JIT 비활성화는 현재 CVE‑2026‑10702에 대한 임시 방어이지만, 향후 새로운 JIT‑related 취약점이 등장할 경우 동일 경로가 재사용될 수 있습니다. 따라서 패치 적용 이후에도 위 탐지 규칙을 지속 운영하고 정기적인 버전 검증 절차를 유지해야 합니다.

인시던트 대응 플레이북 (요약)
1️⃣ 알림 발생 → 대상 호스트에서 firefox.exe --version 확인.
2️⃣ 버전이 151.0.3 미만이면 즉시 차단 정책 적용 후 JIT 비활성화 정책을 강제.
3️⃣ EDR 로그에 지속적인 JIT 예외가 보이면 해당 프로세스를 격리하고 네트워크 트래픽을 분석.
4️⃣ 패치 배포 완료 시 차단·비활성화 정책을 해제하고 정상 운영 복구를 검증.

우선순위 근거 – 다중 소스 교차검증 결과(CVSS 4.3, EPSS 0.00553)와 KEV 비등재·exploit 난이도 hard 를 종합해 “monitor” 수준으로 결정했으며, 즉시 차단은 임시 위험 감소를 위한 고우선순위 조치로 추가했습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=4.3 · non-KEV · EPSS=0.00553 · exploit=hard · in_scope=None