[CVE] CVE-2026-7111 (CVSS 8.4 · 높음) [CWE-416, CWE-825]

핵심 요약

Perl용 `Text::CSV_XS` 1.62 이전 버전에서 use-after-free 취약점(CVE-2026-7111, CVSS 8.4)이 발견되었습니다. 이 취약점은 `Text::CSV_XS` 객체가 등록된 콜백을 호출할 때, 콜백이 Perl 인자 스택을 재할당할 만큼 확장하면 발생하며, 반환 값이 해제된 버퍼에 기록되어 논리 오류나 시스템 충돌을 유발할 수 있습니다. 특히 `getline_all` 메서드 사용 시 파싱된 데이터 대신 `Text::CSV_XS` 객체를 잘못 반환받아 문제가 발생합니다. IT 감사인은 조직 내 Perl 기반 시스템 및 애플리케이션에서 `Text::CSV_XS` 모듈의 사용 여부와 버전을 즉시 파악하고, 최신 버전으로의 업데이트 계획 및 적용 여부를 점검하여 잠재적인 서비스 중단 및 데이터 손상 리스크를 관리해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 모든 Perl 기반 시스템 및 애플리케이션에서 `Text::CSV_XS` 모듈의 버전을 확인하고, 취약한 1.62 미만 버전을 사용하는 경우 즉시 1.62 이상 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치`Text::CSV_XS` 모듈을 사용하는 애플리케이션의 소스 코드를 검토하여 `after_parse`, `before_print`, `on_error` 등 콜백 함수 사용 여부를 확인하고, 해당 콜백 함수가 메모리 재할당을 유발할 수 있는 로직을 포함하는 경우 보안 취약점 점검 및 안전한 코딩 가이드라인에 따라 개선할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 생명주기(SDLC) 전반에 걸쳐 오픈소스 라이브러리 및 외부 구성요소의 보안 취약점을 식별하고 관리하기 위한 정책 및 절차를 수립하고, 정기적인 취약점 스캐닝 및 패치 관리 프로세스를 강화할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 Perl 언어의 메모리 관리 및 콜백 함수 사용 시 발생할 수 있는 보안 취약점(예: use-after-free, 타입 혼동)에 대한 보안 교육을 강화하여 안전한 코딩 습관을 함양할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문