[방어] 분석 — CVE-2026-24237

• 심각도 high · CVSS 7.8 · EPSS 0.0017 · 악용난이도 hard

NVTabular는 파이프라인 정의를 파일(*.pkl, *.joblib)에서 역직렬화합니다. 공격자는 신뢰되지 않은 외부 저장소(S3, HDFS 등)나 로컬 디렉터리에 조작된 직렬화 객체를 배치하고, NVTabular가 이를 자동으로 pickle.load·joblib.load로 역직렬화하도록 유도합니다. 악의적인 객체는 __reduce__ 또는 __setstate__ 메서드를 이용해 임의 코드를 실행하거나 메모리‑내 데이터를 변조하고, 최종적으로 서비스 프로세스 권한으로 명령을 수행합니다.

악용 가능성: AV:L·AC:L·PR:L·UI:N 벡터는 공격자가 로컬 시스템에 직접 접근해야 하고, 복잡도가 낮은(단순 파일/데이터 입력) 절차만으로도 이용 가능함을 의미합니다. PR:L 로 인해 최소 권한(일반 사용자 수준)만 있으면 실행될 수 있으나, UI:N 은 사용자의 별도 행동이 필요 없으므로 자동화된 스크립트로도 공격이 진행됩니다. 이러한 전제조건은 개발·운영 환경에서 NVTabular 를 파이프라인이나 Jupyter 노트북 등 로컬 프로세스로 자주 호출하는 경우 쉽게 충족될 수 있습니다. EPSS = 0.0017 은 현재 관측된 악용 빈도는 낮지만, 실제로 공격이 시도된 사례가 존재함을 보여 주어 이론적 심각도가 현실 위협으로 전환될 가능성을 뒷받침합니다. KEV 에 등재되지 않은 것은 아직 대규모·공개적인 악성코드 배포가 이루어지지는 않았다는 의미이며, 따라서 난이도는 ‘hard’(복잡도와 권한 요구가 낮지만 로컬 접근 필요)로 평가됩니다. 공격 표면은 NVTabular 가 파일/스트림 형태의 데이터 객체를 역직렬화하는 API(예: pickle.load, torch.save 등)와 이를 호출하는 파이프라인 스크립트, 그리고 해당 라이브러리를 포함한 컨테이너 이미지·가상 환경에 존재합니다. 이러한 엔드포인트가 외부 입력을 검증 없이 받아들일 경우, 악의적인 직렬화 객체를 삽입해 코드 실행·데이터 변조·정보 유출을 일으킬 수 있습니다. 따라서 로컬 접근이 가능한 개발·운영 인프라 전반에 걸쳐 해당 API 호출 경로와 입력 검증 여부를 점검하는 것이 핵심 방어 포인트가 됩니다.

• 코드 실행: 공격자가 임의 쉘·스크립트를 실행하여 호스트를 장악할 수 있습니다.
• 데이터 위변조: 파이프라인 입력·출력 데이터가 변조되어 모델 학습 결과가 오염됩니다.
• 정보 유출: 메모리·디스크에 저장된 민감 데이터(예: 인증 토큰, 모델 가중치 등)가 외부로 노출될 수 있습니다.

Deserialization 취약점은 일반적으로 pickle/joblib와 결합된 코드 실행 패턴을 공유합니다. 동일한 환경에서 다른 파이썬 기반 AI 프레임워크(예: PyTorch torch.save)에 존재하는 역직렬화 취약점과 연계될 경우, 공격자는 초기 진입 후 NVTabular를 통해 추가 권한 상승·공급망 오염을 수행할 수 있습니다.

• 로그 지표
  • nvtabular 애플리케이션 로그: Loading serialized object from <path> 혹은 DeserializationError 메시지.
  • OS 감사 로그(auditd): open/read 시스템 콜이 *.pkl, *.joblib 파일에 접근될 때 exe=python*.
• SIEM 쿼리 예시 (Splunk)

 1index=nvtabular sourcetype=json 
 2   ("pickle" OR "joblib") AND ("load" OR "deserialize")
 3| eval is_untrusted = if(match(file_path,"^/mnt/untrusted/.*"),1,0)
 4| where is_untrusted=1
 5| stats count by host, user, file_path, _time

• 정규식 패턴 (ELK, Graylog 등)

 1(?i)loading\s+(?:pickle|joblib)\s+file\s+['"]([^'"]+)['"]

• EDR 룰 예시 (Falcon, SentinelOne)

  • process_name: python* AND command_line:*pickle.load* OR *joblib.load* AND file_path NOT IN [/opt/nvtabular/trusted/*] → 경보.

• 오탐 튜닝

  • 정상 파이프라인에서 사용하는 내부 레포지터리 경로(*/trusted/*)를 화이트리스트에 추가합니다.
  • 테스트 환경에서 발생하는 pickle.load 호출을 사전 검증 후 규칙의 임계값을 “1회/5분” 이하로 낮춥니다.

• 잔여 리스크: 패치를 적용해도 다른 직렬화 포맷(예: yaml.load 무검증)에서 유사한 역직렬화 위험이 남을 수 있습니다. 따라서 위 탐지·완화 규칙을 전반적인 파이썬 객체 로딩 경로에 확대 적용하는 것이 권장됩니다.

• 인시던트 대응 플레이북

  1. SIEM/EDR 알림 발생 시 file_path, host, user를 확인한다.
  2. 해당 파일의 해시를 현재 신뢰된 목록과 비교하고, 변조 여부 판단한다.
  3. 의심스러운 호스트에서 NVTabular 서비스를 즉시 중지하고, 프로세스를 격리한다.
  4. 메모리·디스크 덤프를 수집해 악성 객체(__reduce__ payload) 존재 여부 분석한다.
  5. 변조된 파일이 확인되면 백업에서 정상 파일로 복구하고, 해당 경로에 대한 ACL·서명 정책을 강화한다.

우선순위 근거: 다중 소스 데이터 일관성(신뢰도 1.0)으로 CVE-2026-24237의 존재가 확정됐으며, EPSS = 0.0017(실제 악용 가능성이 낮지만 완전히 배제되지 않음)과 CVSS 7.8(높은 영향)·Exploit Hard을 종합해 이번 주 내 ‘scheduled’ 대응으로 결정되었습니다(KEV 미등재·비공개 PoC).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0017 · exploit=hard · in_scope=None