[분석가] 분석 — CVE-2026-50262

• 심각도 medium · CVSS 5.5 · EPSS 0.00132 · 악용난이도 hard

로컬 사용자가 X 서버에 GLX 요청 __glXDisp_ChangeDrawableAttributes()를 전송할 때, 크기 검증이 잘못되어 클라이언트가 조작한 바이트 수만큼 버퍼를 초과 읽게 된다. 이 경로는 읽기만 가능하고, 쓰기 경로는 기본적으로 비활성화된 byte‑swapped 클라이언트를 요구한다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 공격자가 대상 시스템에 로컬 계정으로 접근하면 복잡한 전제조건 없이 취약 함수를 호출할 수 있음을 의미합니다. UI가 N이므로 사용자의 추가적인 행동이 필요 없으며, 로컬에서 X 서버와 Xwayland에 직접 GLX 요청을 전달하기만 하면 됩니다. EPSS 값 0.00132는 현재까지 관측된 실제 악용 사례가 매우 드물어 실질적인 위협 가능성이 낮다는 근거가 됩니다. KEV 목록에도 등재되지 않아 공개적으로 알려진 악성 코드나 캠페인이 존재하지 않음을 확인할 수 있습니다. 공격 표면은 X.Org X server와 Xwayland가 제공하는 GLX 프로토콜이며, 특히 __glXDisp_ChangeDrawableAttributes() 요청을 통해 로컬 Unix 도메인 소켓이나 루프백 TCP 포트에서 접근이 가능합니다. 이 함수의 크기 검증 오류를 이용해 클라이언트가 조작한 비정상적인 바이트 수를 포함한 GLX 요청을 전송하면, 버퍼 경계를 초과하는 읽기가 발생하여 메모리 내용이 노출될 수 있습니다. 쓰기 경로도 존재하지만, 이는 바이트 스와핑이 활성화된 클라이언트에서만 동작하며 기본적으로 비활성화돼 실전 활용 가능

• 기술적 위험: 메모리 영역을 무단으로 읽어 서버 프로세스의 주소 공간에 존재하는 민감 정보(예: 인증 토큰, 키, 환경 변수 등)가 외부로 유출될 수 있다. 실행 권한 상승이나 서비스 중단은 직접적으로 발생하지 않는다(C / I N / A N).
• 비즈니스 리스크: 기밀성 손상으로 인해 규제·컴플라이언스 위반(PCI‑DSS, HIPAA 등) 위험이 존재하고, 고객 및 파트너 신뢰도가 저하될 수 있다.
• 영향 제품·노출 규모: X.Org X server < 21.1.23, Xwayland < 24.1.12, 그리고 이를 포함하는 Red Hat Enterprise Linux 배포판(다수)에서 취약점이 존재한다. 다중 소스에서 일관성이 확인됐으며(교차검증), 공급망 차원에서 광범위하게 배포된 라이브러리·컴포넌트에 영향을 미친다.
• EPSS 해석: EPSS = 0.00132는 현재 실측 악용 가능성이 매우 낮음을 의미한다(실제 공격 관측 사례 없음). 따라서 위험도는 CVSS 5.5 (C / I N / A N)와 결합해 “중간” 수준으로 평가된다.

• 유형: CWE‑125(Out‑of‑bounds Read) 패턴과 유사한 메모리 읽기 오류가 다른 그래픽 스택에서도 보고된 바 있다.
• 추정: 이러한 메모리 누출을 이용해 로컬 권한 상승 취약점(CWE‑269 등)과 연계될 경우, 탈취된 인증 정보로 추가 침투가 가능할 수 있다.

• X 서버 로그에 BadLength 혹은 GLXBadAttributeSize 오류가 비정상적으로 빈번히 기록되는지 모니터링한다.
• 네트워크 IDS/IPS에서 X 프로토콜 GLX 요청 중 attribute length 필드가 정상 범위를 초과하는 패턴을 탐지한다(예: attributeLength > MAX_ALLOWED).
• 감사 로그(Auditd)와 SELinux/AppArmor 알림에 로컬 클라이언트가 X 서버에 접근한 흔적을 확인한다.

1. 즉시 조치: X.Org X server ≥ 21.1.23, Xwayland ≥ 24.1.12 버전으로 업데이트하고, Red Hat Enterprise Linux 최신 보안 패치를 적용한다.
2. 보조 대책: GLX 확장이 필요 없는 환경에서는 xhost·xauth 정책을 강화하거나 disable-glx 옵션으로 비활성화한다. 로컬 접근 제어를 SELinux/AppArmor 프로파일로 제한하고, 불필요한 X 세션을 차단한다.
3. 모니터링: 위 탐지 지표를 기반으로 지속적인 로그 분석 및 IDS 시그니처 업데이트를 수행한다.

(본 보고서는 다중 소스 교차검증 + 실측 EPSS 조회 + 규칙 기반 우선순위 결정을 거친 결과임을 밝힌다.)

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00132 · exploit=hard · in_scope=None