[방어] 분석 — CVE-2026-66066

• 심각도 미상 · CVSS 미상 · EPSS 미확보 · 악용난이도 moderate

• 진입 경로: libvips를 이미지 처리 엔진으로 사용하며 외부 사용자로부터 이미지 업로드를 받는 Rails 애플리케이션의 Active Storage 엔드포인트.
• 취약점 원리: Active Storage가 신뢰할 수 없는 콘텐츠에 대해 위험한(unsafe) libvips 작업을 비활성화하지 않아 발생합니다.
• 공격 단계:
  1. 조작된 이미지 업로드 또는 이미지 변형(Transformation) API 호출.
  2. 변형 파라미터 내에 경로 탐색 문자열(../) 등을 삽입하여 libvips 로더가 시스템 파일에 접근하도록 유도(추정: LFI 발생).
  3. Rails 프로세스 권한으로 읽기 가능한 민감 파일(환경 변수, secret_key_base, 애플리케이션 시크릿 등) 탈취.

악용 가능성: 본 취약점의 공격 난이도는 Moderate 수준이며, 특정 환경 조건이 충족될 때 악용 가능성이 매우 높습니다. 공격자는 AV:N(Network) 및 PR:N(None) 조건에 따라 별도의 인증 없이 네트워크를 통해 접근할 수 있으며, 특히 UI:N으로 사용자 상호작용 없이도 트리거가 가능합니다. 주요 공격 표면은 이미지 업로드 기능을 제공하는 Rails 애플리케이션의 엔드포인트이며, 내부적으로 이미지 처리 라이브러리인 libvips를 사용하도록 설정된 환경이 필수 전제조건입니다. 공격자는 조작된(crafted) 이미지 파일을 업로드하여 libvips 내의 unsafe operation을 호출함으로써, Rails 프로세스 권한으로 서버 내 임의 파일(secret_key_base, 환경 변수 등)을 읽어낼 수 있습니다. 현재 KEV 미등재 및 EPSS unavailable 상태로 광범위한 자동화 공격 사례는 확인되지 않았으나, 탈취된 자격 증명이 RCE(Remote Code Execution)나 내부망 이동(Lateral Movement)으로 이어질 수 있다는 점에서 실질적인 위협 수준이 높습니다. 결과적으로 libvips를 사용하는 이미지 업로드 경로가 외부에 노출되어 있다면 공격 난이도는 낮아지며, 정보 유출의 파급력은 매우 치명적입니다.

• 민감 정보 유출: Rails의 핵심 설정 및 인증 키(secret_key_base)가 노출됩니다.
• 2차 공격 확장: 탈취된 시크릿 키를 이용한 세션 위조, 외부 서비스 토큰을 통한 횡적 이동(Lateral Movement) 및 최종적으로 원격 코드 실행(RCE)으로 이어질 위험이 매우 높습니다.

• LFI $\rightarrow$ RCE 체이닝: 단순한 로컬 파일 읽기(Local File Inclusion)에서 획득한 자격 증명을 통해 애플리케이션 제어권을 완전히 획득하는 전형적인 권한 상승 패턴을 보입니다.

• 로그 지표: Web 서버 Access Log 및 Rails Application Log의 URI/Query String 필드. 특히 /rails/active_storage/representations/* 경로로 들어오는 요청을 집중 모니터링합니다.
• 탐지 규칙 예시:
  1. WAF/SIEM 경로 탐색 패턴 (고정 문자열 및 정규식):
     • Source: HTTP Request URI / Query String
     • Pattern: (\.\.\/|\/\.\.) 또는 /etc/passwd, .env, secret_key_base, /proc/self/environ
     • Logic: request_uri MATCHES '(/rails/active_storage/representations/).*(\.\./|/etc/|/proc/)'
  2. SIEM 의사코드 (비정상 요청 빈도 탐지):
     sql복사

      1SELECT client_ip, request_path, user_agent 
      2FROM web_logs 
      3WHERE (request_path LIKE '%active_storage%' 
      4       AND (request_path REGEXP '(\.\./|/etc/|/proc/|secret|env)'))
      5GROUP BY client_ip 
      6HAVING count(*) >= 1 WITHIN 5m

  3. 애플리케이션 에러 로그 모니터링: libvips 관련 로더 호출 중 파일 접근 거부(Permission Denied) 또는 경로 오류가 단시간 내 다수 발생하는지 확인합니다.
• 오탐 튜닝: 정상적인 이미지 변형 파라미터(width, height, crop)는 숫자와 단순 알파벳으로 구성됩니다. 정규식 적용 시 해당 화이트리스트 패턴을 제외하고, 특수문자(. / %00)가 포함된 요청만 경고하도록 튜닝합니다.

• 즉시(긴급 차단): WAF에서 이미지 변형 엔드포인트로의 경로 탐색 패턴(../) 및 민감 파일 키워드를 즉시 차단.
  • 난이도: 낮음 / 운영 영향: 거의 없음 (정상 요청은 영향을 받지 않음) / 검증: ../ 포함 요청 시 403 Forbidden 응답 확인.
• 단기(완화):
  1. 입력값 화이트리스트 적용: Active Storage 변형 파라미터에 대해 허용된 값 외에는 모두 거부하는 검증 로직 추가. (난이도: 중간 / 운영 영향: 낮음 / 검증: 비정상 문자열 전송 시 차단 확인)
  2. OS 레벨 권한 제한: AppArmor나 SELinux를 통해 Rails 프로세스가 웹 루트 외의 시스템 디렉터리(/etc, /proc 등)에 접근하지 못하도록 강제 제한. (난이도: 중간 / 운영 영향: 낮음 / 검증: cat /etc/passwd 시도 시 OS 레벨 거부 확인)
  3. 프로세스 격리: 이미지 처리 프로세스를 Read-only 파일 시스템 기반의 독립된 컨테이너로 분리하여 공격 표면 축소. (난이도: 높음 / 운영 영향: 중간 / 검증: 컨테이너 내 파일 쓰기/읽기 범위 확인)
• 근본(해결): Rails Action Pack을 패치 버전(7.2.3.2, 8.0.5.1, 8.1.3.1 이상)으로 업데이트.
  • 난이도: 낮음 / 운영 영향: 서비스 재시작 필요 / 검증: bundle exec rake -v 또는 라이브러리 버전 확인.

[분석 근거]
본 리포트는 다중 소스에서 일관성이 확인된(신뢰도 1.0) 사실을 근거로 작성되었습니다. EPSS 실측값은 확보되지 않았으나, 공격 난이도가 moderate이며 유출될 수 있는 데이터(secret_key_base)의 치명성을 고려하여 이번 주 내 대응하는 scheduled 우선순위로 결정하였습니다. 이는 단순한 파일 읽기를 넘어 RCE로 이어지는 경로가 명확하기 때문입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=미상 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None