[CVE] CVE-2026-33317 (CVSS 8.7 · 높음) [CWE-125, CWE-787]

핵심 요약

Arm Cortex-A 코어용 신뢰 실행 환경(TEE)인 OP-TEE의 PKCS#11 TA에서 CVE-2026-33317(CVSS 8.7) 취약점이 발견되었습니다. 이 취약점은 `entry_get_attribute_value()` 함수 내 누락된 검사로 인해 힙 영역에서 범위를 벗어난 읽기(out-of-bounds read) 또는 쓰기(out-of-bounds write)를 유발하며, 이는 민감 정보 유출, 데이터 변조 또는 서비스 충돌로 이어질 수 있습니다. IT 감사인은 조직 내 Arm Cortex-A 기반 시스템에서 OP-TEE 사용 여부 및 해당 취약점의 패치 적용 상태를 점검하여 신뢰 실행 환경의 보안 무결성을 보장해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 Arm Cortex-A 기반 시스템에서 OP-TEE를 사용하는 경우, PKCS#11 TA의 버전을 확인하고 CVE-2026-33317 취약점이 해결된 버전 4.11.0 이상으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치OP-TEE 환경에서 메모리 보호 메커니즘(예: MMU 설정, 힙 보호)이 적절히 구현 및 운영되고 있는지 점검하고, 범위를 벗어난 메모리 접근을 탐지하고 차단하는 보안 솔루션 또는 설정을 강화할 것을 권고함.
• ✔관리적 조치신뢰 실행 환경(TEE)과 같은 핵심 보안 구성 요소에 대한 기술적 취약점 관리 프로세스를 강화하고, 최신 보안 취약점 정보를 지속적으로 모니터링하여 적시에 패치 및 업데이트를 적용하는 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치공급망 보안 관리 절차에 OP-TEE와 같은 서드파티 구성요소의 취약점 관리 및 업데이트 정책을 포함하여, 공급망 전반의 보안 무결성을 확보할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문