[분석가] 분석 — CVE-2026-50256

• 심각도 high · CVSS 7.8 · EPSS 0.00157 · 악용난이도 hard

• X 서버가 libXfont2 라이브러리와 폰트 별칭 길이를 검증하지 않아 256 byte 스택 버퍼에 최대 1024 byte 문자열이 복사됨.
• 악의적인 사용자는 257~1023 byte 크기의 폰트 별칭을 생성해 X 서버 프로세스를 오버플로우시키고, 로컬에서 임의 코드를 실행하거나 서버를 강제 종료시킴.
• 공격 전제: 대상 시스템에 X 서버가 실행 중이며 로컬(또는 원격 X 세션) 접근 권한이 있어야 함.

악용 가능성: 이 취약점은 로컬 환경에서 X.Org X 서버 혹은 Xwayland에 연결할 수 있는 프로세스가 임의의 폰트 별칭을 지정하면, 256 바이트 스택 버퍼를 초과하는(257~1023 바이트) 문자열이 복사되어 버퍼 오버플로우가 발생합니다. CVSS 벡터 AV:L·AC:L·PR:L·UI:N은 공격자가 로컬 계정만으로도 낮은 난이도로, 별도의 사용자 조작 없이도 악용할 수 있음을 의미합니다. EPSS 0.00157이라는 실측 확률은 현재 관찰된 악용 사례는 거의 없지만, 완전히 배제되지 않는 위험을 나타내며, KEV에 등재되지 않은 점은 아직 대규모 야생 공격이 보고되지 않았다는 뜻입니다. 트리거 조건은 X 클라이언트가 X 서버에 폰트 별칭 요청을 전송할 때이며, 공격 표면은 로컬 Unix 도메인 소켓(또는 네트워크 X 포워딩이 활성화된 경우 TCP 포트 6000 대)와 libXfont2 라이브러리의 alias‑resolution API입니다. 서버가 루트 권한으로 실행될 경우, 오버플로우를 이용해 권한 상승이 가능하므로 로컬 특권 계정 보유자는 특히 높은 위험에 노출됩니다. 따라서 이 취약점은 로컬 공격자에게는 난이도가 낮고 실질적인 악용 가능성이 존재하지만, 현재까지 대규모 악용 사례가 없다는 점을 고려해 우선순위를 판단해야 합니다.

• 기술적 위험
  • 스택 오버플로우로 인한 서비스 충돌(DOS) 및 임의 코드 실행.
  • X 서버가 루트 권한으로 실행될 경우, 공격자는 해당 호스트의 최고 권한을 획득할 수 있음(권한 상승).
• 비즈니스 위험
  • 가용성 저하: X 데스크톱 환경이 중단되어 업무 연속성에 영향.
  • 규제/컴플라이언스: 루트 권한 탈취는 데이터 무결성·보안 요구사항 위반 가능성.
  • 신뢰도 손실: 내부 사용자 및 외부 파트너에게 서비스 안정성 의심 초래.
• 영향 제품·노출 규모
  • X.Org X server < 21.1.23, Xwayland < 24.1.12, 그리고 해당 라이브러리를 포함하는 Red Hat Enterprise Linux 배포판(다수)에서 취약점이 존재함.
  • 다중 제품에 걸친 공급망 특성으로 인해 영향 범위가 광범위할 수 있음([품질 신호]).

• 동일한 메모리‑오염(CWE‑120/121) 패턴을 이용하는 과거 X.Org X server 버그와 결합될 경우, 초기 로컬 권한 상승 후 추가 네트워크 기반 공격(예: CVE‑2022‑XXXX 등)으로 확장 가능성 존재.
• 현재 확인된 직접적인 체이닝 사례는 없으나, 메모리 손상 취약점은 일반적으로 다른 로컬 권한 상승·코드 실행 취약점과 연계될 위험이 있음.

• 시스템 로그//var/log/Xorg.0.log에 비정상적인 “Segmentation fault” 또는 “X server terminated unexpectedly” 메시지 발생 여부.
• auditd 혹은 EDR에서 Xorg 프로세스가 256 byte를 초과하는 문자열을 인자로 받는 이벤트 감시.
• IDS/IPS 시그니처: “font alias name length > 256” 패턴 매칭(예: Suricata rule alert tcp $HOME_NET any -> $EXTERNAL_NET 6000 (msg:"Xorg oversized font alias"; content:"|00 01 02 ...|"; fast_pattern; sid:xxxx;)).
• 커널 OOPS 혹은 coredump에 “stack buffer overflow in Xfont” 관련 스택 트레이스가 기록될 경우.

• 즉시 조치
  • X.Org X server를 버전 21.1.23 이상, Xwayland를 버전 24.1.12 이상으로 업데이트([우선순위 결정]에 따라 이번 주 내 적용 권고).
  • Red Hat Enterprise Linux에서는 해당 패키지에 대한 최신 보안 업데이트(RHEL 9‑xxxx) 적용.
  • 가능한 경우 X 서버를 루트가 아닌 일반 사용자 계정으로 실행하도록 구성(-auth 옵션 및 systemd 서비스 파일 수정).
• 근본 해결
  • libXfont2와 연동되는 폰트 별칭 길이 검증 로직을 포함한 패치를 공급받을 때까지, 시스템 전역에서 FontPath 설정을 제한하거나 신뢰된 폰트만 사용하도록 정책 적용.
  • 장기적으로는 X 서버를 Wayland 기반 데스크톱 환경으로 마이그레이션하여 해당 코드 경로를 제거.

본 보고서는 다중 소스 교차검증에서 일관성이 확인됐으며([교차검증]), EPSS 0.00157(백분위 0.05371)이라는 실측 악용 가능성 수치를 기반으로([실측 악용예측]) 위험을 평가하고, 규칙 기반 우선순위 결정 로직에 따라 이번 주 내 대응을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00157 · exploit=hard · in_scope=None