[공격] 분석 — CVE-2026-56003

• 심각도 high · CVSS 8.5 · EPSS 0.00373 · 악용난이도 hard

• 정찰
  • X 서버가 네트워크(TCP 6000‑6063) 혹은 로컬 UNIX 소켓으로 열려 있는지 확인하고, XQueryExtension 등으로 libXfont 버전(2.0.0‑2.0.8) 존재 여부를 탐색한다.
• 초기 접근
  • CVSS PR:L에 해당하는 “인증된 X 클라이언트”가 필요하지만, 기업 환경에서는 SSH → X11 포워딩, 내부 관리 툴, 혹은 MIT‑MAGIC‑COOKIE 재사용 등으로 인증이 쉽게 확보될 수 있다(동료 의견 반영).
• 트리거 조건
  • ComputeScaledProperties() 호출 시 PCF 파일의 property length 필드가 버퍼 크기를 초과하도록 조작한다. 예) 0xFFFFFFFF와 같은 비정상적인 길이값을 포함한 정상 헤더 뒤에 과다 데이터 전송.
  • 이때 libXfont2는 힙에 할당된 고정‑size 버퍼보다 더 많은 바이트를 복사해 heap buffer overflow가 발생한다. (CVSS AV:N, AC:H)
• 제어 흐름 장악
  • 오버플로우가 malloc‑chunk 메타데이터·함수 포인터 등을 덮어쓰면, ASLR/Canary 비활성화 혹은 적절한 ROP 가젯이 존재할 경우 ROP 체인을 구성해 Xorg 프로세스 내 임의 코드를 실행한다.
  • 성공 시 Xorg는 루트(또는 해당 사용자) 권한으로 동작하므로 화면 캡처·키 입력 탈취·파일 접근 등 전역 제어가 가능하다.
• 지속·영향
  • RCE가 성사되면 공격자는 지속적인 백도어를 심거나 내부망 침투에 활용할 수 있다.
  • 버퍼 오버플로우 자체만으로도 Xorg 프로세스가 SIGSEGV/SIGABRT 로 비정상 종료해 모든 GUI 세션이 중단되는 DoS 효과가 즉각 발생한다.

다중 소스에서 일관성이 확인됐으며(교차 검증), EPSS 0.00373은 현재까지 실제 악용 사례는 드물지만 존재 가능성을 완전히 배제할 수 없음을 의미한다.

악용 가능성: 이 취약점은 네트워크 접근(AV:N)이 가능하지만, 공격 복잡도 AC:H가 높아 실제로 악용하려면 대상 X 서버에 대한 정확한 버전·구성 정보를 사전에 정찰해야 합니다. 권한 요구 PR:L는 인증된 X 클라이언트만 있으면 충분하므로 로컬 또는 원격에서 X Authentication이 설정된 환경이라면 최소 권한으로 시작할 수 있지만, 해당 인증을 우회하거나 합법적인 클라이언트 계정을 확보하는 단계가 필요합니다. 사용자 개입 UI:N은 요구되지 않으나, 악성 PCF 파일을 전송하기 위한 “property buffer” 파라미터가 노출된 X 서버의 ComputeScaledProperties() 함수가 직접 공격 표면이며, 이 엔드포인트는 libXfont2 < 2.0.8 버전에서만 존재합니다. EPSS = 0.00373이라는 실측값은 현재 관찰된 악용 사례가 매우 적으며, KEV에 등재되지 않은 점도 실제 위협이 제한적임을 뒷받침합니다. 따라서 공격자는 먼저 대상 서버가 취약한 libXfont2 버전을 사용 중인지 확인하고, 인증된 X 클라이언트 세션을 통해 조작된 PCF 파일을 전송해 힙 버퍼 오버플로우를 유발해야 합니다. 성공 시 코드 실행은 X 서버 프로세스 내부에서 이루어지므로 높은 권한을 획득할 수 있지만, 위 단계들의 사전 준비와 정확한 파일 포맷 조작이 요구돼 난이도는 ‘hard’ 수준으로 평가됩니다.

• 서비스 가용성: Xorg 비정상 종료 → 모든 그래픽 세션 마비, 업무 연속성 손실(DoS).
• 시스템 보안: 성공적인 메모리 조작으로 Xorg 프로세스 내 임의 코드 실행 → 루트 권한 획득·키 입력·스크린샷·내부망 추가 침투 등 전면적 위험.

• CWE‑122(Heap‑based Buffer Overflow) → 메모리 손상 → 제어 흐름 하이재킹.
• 가능한 체인 패턴:
  • MIT‑MAGIC‑COOKIE 탈취 → 인증된 X 클라이언트 획득 → PCF 오버플로우 이용 (DGX_A 의견 반영).
  • 다른 X11 메모리 취약점(예: libX11, libxcb)과 결합 시 동일 프로세스 내 다중 오버플로우를 연계해 ROP 가젯 확보 가능성 존재(추정).

• Xorg 로그·systemd journalctl -u display-manager 에서 SIGSEGV, SIGABRT 혹은 “BadLength”, “Invalid PCF property size” 메시지.
• IDS/IPS 규칙: X11 프로토콜에서 PCF 파일 전송 시 property length > 0xFFFF (또는 비정상적으로 큰 값) 탐지.
• SELinux/AppArmor 감사 로그에 Xorg 의 메모리 접근 위반 기록.

1. 패치 적용: libXfont2 ≥ 2.0.8 로 즉시 업데이트(이번 주 내 우선순위).
2. 네트워크 제한: -nolisten tcp 옵션으로 원격 TCP X 연결 차단, 필요 시 로컬 UNIX 소켓만 허용.
3. 인증 강화: MIT‑MAGIC‑COOKIE 재사용 방지·세션 타임아웃 적용, 불필요한 외부 X 클라이언트 접속 금지.
4. 시스템 보호: SELinux/AppArmor 프로파일로 Xorg 격리, ASLR·Stack Canary·PIE 활성화.
5. 모니터링: 위 탐지 항목을 실시간 알림으로 설정하고, Xorg 비정상 재시작 시 즉시 조사 절차 실행.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.5 · non-KEV · EPSS=0.00373 · exploit=hard · in_scope=None