[CVE] CVE-2026-64608 (CVSS 9.8 · 치명적) [CWE-502, CWE-787]

핵심 요약

Apache Fory C++ 구현에서 CVE-2026-64608(CVSS 9.8)에 해당하는 치명적인 힙 타입 혼동 및 범위를 벗어난 읽기/쓰기 취약점이 발견되었습니다. 이 취약점은 호환 모드에서 데이터를 역직렬화할 때 선언된 필드 유형과 실제 데이터의 검증이 미흡하여 발생하며, 메모리 손상 및 잠재적인 원격 코드 실행으로 이어질 수 있습니다. 이는 소프트웨어 공급망 보안 및 서드파티 라이브러리 관리에 대한 IT 감사인의 점검 필요성을 시사하며, 특히 데이터 무결성 실패(OWASP A08:2021)와 관련된 보안 통제 미흡을 나타냅니다.

💡 개선 권고안

• ✔기술적 조치Apache Fory C++ 라이브러리를 사용하는 모든 시스템은 즉시 버전 1.4.0 이상으로 업그레이드하여 CVE-2026-64608 취약점을 해결할 것을 권고함.
• ✔기술적 조치서드파티 라이브러리 및 오픈소스 컴포넌트의 취약점을 지속적으로 모니터링하고, CVSS 9.0 이상의 치명적인 취약점 발견 시 24시간 이내에 긴급 패치 적용을 위한 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 생명주기(SDLC) 전반에 걸쳐 서드파티 라이브러리 및 오픈소스 컴포넌트의 보안 취약점 관리를 위한 정책을 수립하고, SBOM(Software Bill of Materials) 구축을 통해 사용 중인 모든 컴포넌트의 가시성을 확보할 것을 권고함.
• ✔관리적 조치개발 및 보안 담당자를 대상으로 안전한 코딩 교육을 강화하고, 특히 데이터 역직렬화(Deserialization)와 관련된 입력 유효성 검증 및 메모리 안전성 확보 방안에 대한 교육을 정기적으로 실시할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문