[CVE] CVE-2026-41316 (CVSS 8.1 · 높음) [CWE-693]

핵심 요약

Ruby용 템플릿 시스템 ERB에서 역직렬화 취약점(CVE-2026-41316, CVSS 8.1)이 발견되었습니다. 이 취약점은 ERB의 특정 메서드(`ERB#def_method`, `ERB#def_module`, `ERB#def_class`)에 `@_init` 인스턴스 변수 가드가 누락되어 발생하며, 공격자가 `Marshal.load`를 통해 신뢰할 수 없는 데이터를 역직렬화할 때 기존 보호 메커니즘을 우회하고 임의 코드 실행을 유발할 수 있습니다. 이는 `Protection Mechanism Failure (CWE-693)`에 해당하며, IT 감사인은 Ruby 기반 시스템을 운영하는 조직의 자산 목록을 확인하고 ERB 라이브러리 버전을 점검하여 해당 취약점에 노출된 시스템이 없는지 신속히 파악해야 합니다.

💡 개선 권고안

• ✔기술적 조치ERB 라이브러리를 최신 패치 버전(ERB 4.0.3.1, 4.0.4.1, 6.0.1.1, 6.0.4 이상)으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치Ruby 애플리케이션에서 `Marshal.load`와 같이 신뢰할 수 없는 데이터를 역직렬화하는 기능을 사용하는 경우, 입력 값 검증 및 화이트리스트 기반의 안전한 역직렬화 구현 방안을 적용해야 함을 권고함.
• ✔관리적 조치조직 내 모든 Ruby 기반 시스템 및 애플리케이션에 대한 자산 목록을 최신화하고, 사용 중인 모든 라이브러리 및 프레임워크의 버전을 주기적으로 점검하여 알려진 취약점 노출 여부를 파악하는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 보안 가이드라인에 역직렬화 취약점 방어 기법 및 안전한 코딩 표준을 포함하고, 개발자 대상 보안 교육을 강화하여 유사 취약점 발생을 예방할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문