소4

🚨 개발자라면 오늘 바로 확인해야 합니다. 🚨 CVE-2026-111497 (CVSS 9.2) 악의적으로 조작된 Brotli 압축 데이터를 해제하는 과정에서 메모리 손상이 발생합니다. 서비스 중단이나 메모리 정보 유출은 물론, 최악의 경우 원격 코드 실행(RCE)까지 이어질 수 있습니다. 이 취약점은 Node.js만의 문제가 아닙니다. Google의 Brotli 디코더 자체에서 발견된 취약점으로, 이를 사용하는 다양한 런타임과 라이브러리가 영향을 받습니다. 지금 당장 해야 할 일은 다음과 같습니다. 1. 런타임 업데이트 Node.js 22 → 22.23.4 이상 Node.js 24 → 24.22.1 이상 Node.js 26 → 26.12.1 이상 Bun → 1.4.4 이상 Node.js 20 등 지원이 종료된 버전은 지원 버전으로 이전해야 합니다. 2. 압축 라이브러리 업데이트 Google Brotli → 1.2.1 (또는 해당 브랜치의 수정 버전) Python Brotli → 1.2.1 이상 Python brotlicffi → 1.2.1.0 이상 Envoy, Istio 사용자는 보안 패치가 적용된 버전 확인 3. 외부 데이터의 압축 해제 경로 확인 직접 Brotli를 호출하지 않더라도 안전한 것은 아닙니다. fetch()나 일부 HTTP 클라이언트는 Content-Encoding: br 응답을 자동으로 압축 해제합니다. 외부 API 호출, 웹훅, 크롤러, 사용자 제공 URL을 가져오는 기능부터 확인하세요. 4. 컨테이너와 배포 환경 재점검 로컬에서 Node.js를 업데이트했다고 끝나는 것이 아닙니다. Docker 베이스 이미지, 서버리스 런타임, CI/CD 환경을 점검하고 취약한 바이너리를 포함한 배포물을 다시 빌드해야 합니다. Bun으로 컴파일한 실행 파일도 마찬가지입니다. 5. 당장 패치할 수 없다면 신뢰할 수 없는 출처의 Brotli 압축 해제를 일시적으로 제한하세요. 필요하다면 Brotli 자동 압축 해제를 비활성화하거나 영향을 받는 기능을 격리해야 합니다. 6. 패치 이후에도 확인할 것 실제 운영 프로세스의 버전을 재확인하고, 비정상 종료나 의심스러운 요청 등 침해 징후를 조사하세요. 중요한 것은 Brotli를 사용한다는 사실 자체보다, 공격자가 제어할 수 있는 압축 데이터가 취약한 디코더에 도달할 수 있느냐입니다. 다만 그 경로가 명확하지 않다고 해서 업데이트를 미룰 이유는 없습니다. 이번 취약점은 애플리케이션 코드만 점검해서는 놓치기 쉬운, 런타임과 기반 라이브러리 수준의 문제입니다.