[CVE] CVE-2026-35582 (CVSS 8.8 · 높음) [CWE-78, CWE-116]

핵심 요약

Emissary P2P 데이터 중심 워크플로우 엔진의 8.42.0 이하 버전에서 OS 명령 주입 취약점(CVE-2026-35582, CVSS 8.8)이 발견되었습니다. `Executrix.getCommand()` 함수가 임시 파일 경로를 셸 명령 문자열에 삽입할 때 이스케이프 처리나 입력 유효성 검사를 수행하지 않아, `IN_FILE_ENDING` 및 `OUT_FILE_ENDING` 구성 키를 통해 임의의 셸 메타문자를 주입하여 OS 명령을 실행할 수 있습니다. 이는 CWE-78(OS 명령 주입) 및 CWE-116(부적절한 출력 인코딩 또는 이스케이프 처리)과 관련이 있으며, 'place' 구성 작성 권한만으로 악용 가능합니다. IT 감사인은 조직 내 Emissary 워크플로우 엔진 사용 여부를 확인하고, 해당 취약점 패치 적용 여부 및 입력값 검증, 출력 이스케이프 처리 등 보안 코딩 가이드라인 준수 여부를 점검하여 잠재적인 시스템 침해 및 데이터 유출 리스크를 사전에 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치Emissary P2P 워크플로우 엔진을 최신 보안 버전인 8.43.0 이상으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치Emissary 엔진을 사용하는 애플리케이션에서 모든 사용자 입력값 및 외부로부터 유입되는 데이터에 대해 강력한 입력 유효성 검증(Input Validation)을 수행하고, 셸 명령 실행 시 사용되는 모든 변수에 대해 적절한 이스케이프 처리(Escaping)를 적용할 것을 권고함.
• ✔관리적 조치개발 및 운영 환경에서 시큐어 코딩 가이드라인을 수립하고, OS 명령 주입(CWE-78) 및 부적절한 출력 인코딩 또는 이스케이프 처리(CWE-116)와 같은 취약점을 방지하기 위한 개발자 교육 및 정기적인 코드 리뷰를 강화할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 관리 절차를 강화하여, 외부에서 도입하는 모든 소프트웨어 및 라이브러리에 대한 보안 취약점 점검을 의무화하고, 최신 보안 패치 적용 여부를 지속적으로 모니터링할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문