Next.js Ships Out-of-Band Patch for Two Critical RCE Flaws in Caching and SVG Processing

핵심 요약

Next.js에서 원격 코드 실행(RCE) 및 서비스 거부(DoS)를 유발할 수 있는 심각한 취약점이 발견되어 긴급 보안 업데이트가 배포되었습니다. 이번 취약점은 React Server Components와 SVG 이미지 처리에 사용되는 `librsvg` 라이브러리(sharp 패키지 경유)에서 발생했으며, 인증되지 않은 공격자가 원격으로 코드를 실행하거나 서비스를 중단시킬 수 있는 심각한 결함입니다. 특히 SVG 처리 관련 취약점은 MITRE ATT&CK의 T1027.017 (SVG Smuggling)과 같은 기법으로 악용될 수 있습니다. IT 감사인은 조직 내 Next.js를 사용하는 시스템의 즉각적인 패치 적용 여부를 확인하고, 웹 애플리케이션 구성 요소의 보안 취약점 관리 프로세스가 적절히 작동하는지 점검하여 잠재적인 침해 사고를 예방해야 합니다.

개선 권고안

• ✔기술적 조치조직 내 Next.js를 사용하는 모든 시스템에 대해 최신 보안 패치(Next.js 14.0.1 이상)를 즉시 적용하여 원격 코드 실행 및 서비스 거부 취약점을 해결할 것을 권고함.
• ✔기술적 조치웹 애플리케이션에서 SVG 이미지 처리 시 사용되는 `librsvg` 라이브러리 및 `sharp` 패키지의 보안 업데이트를 확인하고, 최신 버전으로 유지하여 잠재적인 취약점 악용을 방지해야 함을 권고함.
• ✔관리적 조치조직 내 사용 중인 모든 오픈소스 소프트웨어(OSS) 및 서드파티 라이브러리에 대한 정기적인 보안 취약점 점검 및 버전 관리 정책을 수립하고 시행할 것을 권고함.
• ✔관리적 조치긴급 보안 패치 배포 시, 영향도 분석 및 신속한 적용을 위한 비상 변경 관리 절차를 수립하고, 관련 부서 간 협업 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기