[CVE] CVE-2026-8376 (CVSS 9.8 · 치명적) [CWE-680]

핵심 요약

Perl 5.43.10 및 이전 32비트 빌드에서 정규 표현식 컴파일 시 힙 버퍼 오버플로(CVE-2026-8376, CVSS 9.8) 취약점이 발견되었습니다. `regcomp_study.c` 파일의 `Perl_study_chunk` 함수가 버퍼 크기를 바이트가 아닌 문자로 잘못 계산하여, 공격자가 제어하는 정규 표현식 컴파일 시 `SSize_t` 오버플로를 유발하고 버퍼 외부 쓰기를 가능하게 합니다. 이는 서비스 거부, 정보 유출 또는 임의 코드 실행으로 이어질 수 있는 심각한 취약점으로, Perl을 사용하는 국내 IT 서비스, 금융, 공공 기관의 시스템 무결성과 가용성에 중대한 위협을 초래합니다. IT 감사인은 Perl 기반 시스템의 취약점 관리 현황과 패치 적용 여부를 즉시 점검하여 잠재적 보안 사고를 예방해야 합니다.

💡 개선 권고안

• ✔기술적 조치Perl 5.43.10 이하 버전의 32비트 빌드를 사용하는 모든 시스템에 대해 최신 보안 패치가 적용된 Perl 버전으로 즉시 업데이트하거나, 가능한 경우 64비트 빌드로 전환할 것을 권고함.
• ✔기술적 조치외부 입력값을 처리하는 Perl 기반 애플리케이션에서 정규 표현식을 사용하는 경우, 입력값 검증 로직을 강화하고, 정규 표현식의 복잡도를 제한하여 잠재적인 버퍼 오버플로 공격을 방지할 수 있도록 코드 검토 및 개선을 시행할 것을 권고함.
• ✔관리적 조치조직 내 모든 소프트웨어 자산에 대한 인벤토리를 최신 상태로 유지하고, 정기적인 취약점 스캔 및 평가를 통해 Perl과 같은 핵심 소프트웨어의 취약점을 조기에 식별하고 관리하는 프로세스를 강화할 것을 권고함.
• ✔관리적 조치개발 및 운영 환경에서 사용되는 모든 소프트웨어에 대해 보안 패치 관리 정책을 수립하고, CVSS 9.0 이상의 치명적인 취약점에 대해서는 24시간 이내 패치 적용을 목표로 하는 등 엄격한 SLA를 정의하고 준수율을 추적할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 보안 가이드라인에 안전한 코딩 원칙, 특히 메모리 관리 및 버퍼 처리 관련 내용을 명확히 포함하고, 개발자 대상 정기적인 보안 코딩 교육을 시행하여 유사 취약점 발생을 예방할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문