Microsoft, Google Brotli 버그 대응 긴급 .NET 보안 패치 출시

무슨 일이 있었나

마이크로소프트는 .NET 8, 9, 10, 11 버전의 새 업데이트를 정기 일정 밖에서 발표했습니다. 구글 Brotli라는 데이터 압축 기술에 있는 '버퍼 오버플로' 결함을 고치기 위해서입니다. 버퍼 오버플로는 프로그램이 저장 공간을 넘어서 데이터를 쓰게 되는 실수를 말합니다. 이 결함을 이용하면 공격자가 프로그램 메모리를 읽거나 망가뜨릴 수 있습니다. Node.js, 파이썬 등 다른 프로젝트들도 이미 비슷한 업데이트를 냈습니다.

주요 숫자와 사실

• 취약점 번호는 CVE-2026-111497이며, CVSS v3.1 기준 위험도 점수는 8.1입니다.
• Node.js 팀은 10월 21일에 이 결함을 처음 공개했고, 여러 취약점을 함께 고쳤습니다.
• 마이크로소프트는 공격에 쓰일 수 있는 코드가 만들어졌지만, 실제 공격에 쓰였다는 증거는 아직 없다고 밝혔습니다.
• Wiz 연구원은 클라우드 환경의 91%가 이 결함에 취약한 부품을 쓰고 있다고 말했습니다.

배경 설명

Brotli는 여러 소프트웨어 안에 들어 있는 공용 부품입니다. 그래서 이 라이브러리를 쓰는 모든 소프트웨어가 업데이트해야 합니다. 이 결함은 2월에 Brotli 원본 코드에서 이미 고쳐졌지만, 당시에는 보안 문제라는 사실이 알려지지 않았습니다. 그래서 10월에야 제대로 공개되었습니다. 공격자는 특별히 만든 요청으로 압축된 악성 데이터를 보내는 방식으로 취약한 시스템을 노릴 수 있습니다.

왜 중요한가

Brotli는 웹 서버, 클라우드, 컨테이너 등 많은 곳에서 쓰이기 때문에 영향 범위가 넓습니다. 같은 시기에 발표된 다른 보안 문제에 가려 덜 주목받았지만, 빨리 고치는 것이 중요합니다. 특히 클라우드를 쓰는 회사는 자신이 쓰는 소프트웨어가 이 부품을 포함하는지 확인해야 합니다.

앞으로 지켜볼 점

• Bun, Envoy, Istio 등 다른 소프트웨어의 추가 업데이트가 나오는지 봅니다.
• JFrog가 보여준 FFmpeg 공격 방법이 실제 공격으로 이어지는지 살핍니다.
• Apache Arrow에서도 서비스 거부 공격이 가능하다는 점에 주의합니다.