[분석가] 분석 — CVE-2026-66066

• 심각도 미상 · CVSS 미상 · EPSS 미확보 · 악용난이도 moderate

• 촉발 경로: libvips를 사용하도록 설정된 Rails 애플리케이션에서 신뢰할 수 없는 사용자가 조작된 이미지 파일을 업로드하거나, 이미지 변형(transformation) 파라미터를 통해 요청을 보낼 때 발생합니다.
• 원리: Active Storage가 libvips 내의 'unsafe'로 마킹된 작업을 비활성화하지 않아, 공격자가 이를 이용해 시스템 파일에 접근할 수 있습니다.
• 단계: 조작된 업로드/요청 $\rightarrow$ unsafe libvips operation 호출 $\rightarrow$ Rails 프로세스 권한의 임의 파일 읽기(Arbitrary File Read) $\rightarrow$ 민감 정보 탈취.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 조건으로, 인증되지 않은 외부 공격자가 네트워크를 통해 직접적으로 접근 가능한 환경에서 발생합니다. 공격 표면은 libvips가 설정된 Ruby on Rails 애플리케이션의 이미지 업로드 엔드포인트이며, 특수하게 조작된 이미지 파일을 업로드하는 것만으로 트리거됩니다. libvips 내 안전하지 않은 작업(unsafe operations)이 비활성화되지 않은 점을 악용하여, 공격자는 Rails 프로세스가 접근 가능한 임의 파일 및 환경 변수를 읽어낼 수 있습니다. 특히 secret_key_base와 같은 민감한 자격 증명이 유출될 경우 RCE나 내부망 이동으로 이어질 가능성이 커 잠재적 위험도가 높습니다. 다만, KEV 미등재 및 EPSS unavailable 상태로 야생에서의 실제 악용 사례는 아직 관측되지 않았으며, libvips 사용 및 사용자 업로드 허용이라는 특정 설정 조건이 충족되어야 하므로 공격 난이도는 Moderate 수준으로 판단됩니다.

• 영향 제품 및 범위: libvips를 사용하며 외부 사용자로부터 이미지 업로드를 허용하는 Action Pack 기반 애플리케이션 (버전 7.2.3.2, 8.0.5.1, 8.1.3.1 미만).
• 기술적 위험:
  • 데이터 유출: Rails 프로세스가 접근 가능한 임의 파일 읽기가 가능합니다. 특히 secret_key_base, 환경 변수, 애플리케이션 시크릿 등 핵심 자격 증명이 노출될 수 있습니다.
  • 권한 상승 및 시스템 장악: 탈취된 secret_key_base나 외부 서비스 토큰을 이용해 세션 위조 또는 원격 코드 실행(RCE)으로 이어질 수 있으며, 내부 네트워크 내 횡적 이동(Lateral Movement)의 교두보가 될 수 있습니다.
• 비즈니스 리스크: 핵심 자격 증명 유출 시 서비스 전체의 무결성이 파괴되며, 개인정보 및 기업 기밀 유출로 인한 법적 규제 위반 및 대외 신뢰도 하락이 예상됩니다.

• 패턴 연계: Path Traversal(경로 탐색) 기법을 통해 libvips 로더를 우회하여 파일 시스템에 접근하는 패턴과 결합될 수 있습니다.
• 심화 확장: 유출된 설정 파일을 기반으로 한 RCE 체이닝 또는 이미지 디코더 자체의 메모리 손상 취약점과 연계될 가능성이 추정됩니다.

• 로그 분석: Web 서버 접근 로그에서 이미지 변형 API 호출 시 ../와 같은 경로 탐색 문자열이나 비정상적으로 긴 파라미터 값이 포함되어 있는지 모니터링합니다.
• 행위 기반: Rails 프로세스가 일반적인 이미지 저장 경로 외의 시스템 설정 파일(예: /etc/passwd, .env)에 접근하려는 시스템 콜을 감시합니다.

• 근본 해결: Action Pack을 최신 패치 버전(7.2.3.2, 8.0.5.1, 8.1.3.1 이상)으로 업데이트하여 unsafe operation이 비활성화되도록 조치합니다.
• 즉시 완화:
  • 이미지 변형(Transformation) 엔드포인트에 대한 외부 접근을 일시적으로 차단하거나 화이트리스트 기반의 파라미터 검증을 적용합니다.
  • 이미지 처리 프로세스를 권한이 제한된 별도 컨테이너나 Sandbox 환경으로 격리하여 파일 시스템 접근 범위를 최소화합니다.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 결과(신뢰도 1.0)를 바탕으로 작성되었습니다. 실측 EPSS 값은 미확보 상태이나, 악용 등급이 moderate로 평가되었고 CVSS 및 KEV 정보가 부재한 점을 고려하여 이번 주 내 대응하는 scheduled 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=미상 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None