FreeBSD 커널, Vim 및 Emacs에서 원격으로 악용 가능한 취약점

FreeBSD에서 발견된 취약점(CVE-2026-4747)이 수정되었습니다. 이 취약점은 NFS 서버로 네트워크 패킷을 전송하여 커널 수준의 코드 실행을 허용합니다. 이 문제는 커널에서 RPCSEC_GSS API를 구현하는 kgssapi.ko 모듈을 사용할 때 발생합니다. 커널뿐만 아니라 librpcgss_sec 라이브러리를 사용하고 RPC 서버 기능을 수행하는 사용자 공간 애플리케이션에도 영향을 미칩니다. FreeBSD 기본 시스템의 일부가 아닌 이러한 애플리케이션 또한 네트워크 패킷 전송을 통해 공격받을 수 있습니다.

문제는 GSS(Generic Security Services) API 구현에 있으며, 이 API는 안전하고 인증된 통신 채널을 구축할 수 있도록 합니다. 섬기는 사람RPCSEC_GSS는 NFS 서버에서 Kerberos 기반 인증과 서버와 클라이언트 간 암호화된 트래픽을 사용하여 Sun RPC에 대한 액세스를 보호하는 데 사용됩니다. 이 문제는 서명 검증 중에 패킷 데이터가 적절한 크기 검증 없이 고정 버퍼에 복사되는 과정에서 발생합니다. 오류는 인증 전에 발생하지만 NFS 서버로 네트워크 패킷을 전송할 수 있어야 합니다. 루트 권한으로 /bin/sh를 원격 실행할 수 있는 취약점이 존재합니다.

이 취약점은 Anthropic의 직원이 Claude AI 비서를 사용하면서 발견했습니다. 특히, 캘리포니아 팀의 외부 연구원들은 FreeBSD 프로젝트에서 발표한 일반적인 취약점 보고서만을 정보로 활용하여 Claude를 통해 작동하는 익스플로잇을 작성했습니다. 이 AI 모델은 취약점을 직접 악용하는 것 외에도 취약한 구성의 가상 머신을 배포하고, 원격 디버깅 및 커널 크래시 덤프 읽기를 설정했으며, 커널 수준 코드 실행 권한을 획득한 후 익스플로잇 내에서 /bin/sh를 실행했습니다. 이 익스플로잇을 작성하는 데 Claude가 4시간을 소요했습니다.

해당 익스플로잇을 개발한 연구진은 한 걸음 더 나아가 클로드(Claude)를 사용하여 Vim과 Emacs 편집기에서 특수하게 조작된 파일을 열 때 코드 실행을 허용하는 취약점을 찾아내는 실험을 계속했습니다. 놀랍게도, 이 모델의 프롬프트는 "파일을 열 때 발생하는 Vim의 제로데이 취약점을 찾아라"와 같은 간단한 문제 설명으로 요약되었습니다. 결국, 클로드의 모델은 이전에 알려지지 않았던 취약점을 성공적으로 찾아냈습니다.

Vim의 취약점(CVE-2026-34714)은 기본 모델라인 모드(":set modeline")에서 탭 패널 옵션을 처리하는 방식의 오류로 인해 발생합니다. 이 옵션을 사용하면 처리 중인 파일에 대한 편집 옵션을 지정할 수 있습니다. Vim 개발자들이 설계한 대로, 모델라인은 제한된 수의 옵션만 설정할 수 있으며, 이러한 옵션에 포함된 표현식은 샌드박스 모드에서 실행되므로 가장 간단하고 안전한 작업만 수행할 수 있습니다.

tabpanel 옵션에 P_MLE 플래그가 설정되어 있지 않아 modelineexpr 모드를 활성화하지 않고도 %{expr} 표현식을 사용할 수 있었습니다. 샌드박스 격리를 우회하기 위해 autocmd_add() 함수의 결함이 악용되었습니다. 이 함수는 SafeStateAgain 이벤트에 작업을 바인딩할 때 적절한 안전 검사가 부족하여 샌드박스 격리를 해제한 후에도 명령이 실행될 수 있었습니다. 이 취약점은 Vim v9.2.0272에서 수정되었습니다. "id" 유틸리티를 실행하고 출력을 "/tmp/calif-vim-rce-poc" 파일로 보내는 예시 코드는 다음과 같습니다. /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{'event'\:'SafeStateAgain','pattern'\:'*','cmd'\:'!id>/tmp/calif-vim-rce-poc','once'\:1}])%}: */

Emacs에서 발견된 취약점은 열려 있는 파일과 동일한 디렉터리에 .git/ 디렉터리가 있을 때 해당 디렉터리의 내용이 자동으로 처리되는 과정에서 발생합니다. 이 경우, 파일을 열면 Emacs는 .git/ 디렉터리의 내용을 컨텍스트로 사용하여 "git ls-files"와 "git status" 명령어를 실행합니다. 코드를 실행하려면, .git/ 하위 디렉터리가 있는 디렉터리에서 Emacs로 파일을 열고, 해당 디렉터리에 있는 "config" 설정 파일에 공격자가 지정한 명령어가 포함된 "core.fsmonitor" 옵션을 추가하면 됩니다. GNU Emacs 개발팀은 이 취약점을 Git 관련 문제라는 이유로 수정하지 않고 있습니다.

또한, 다음과 같은 두 가지 취약점을 추가로 확인할 수 있습니다.

• CVE-2026-33150 - libfuse 라이브러리의 io_uring 핸들러에서 발견된 use-after-free 취약점은 FUSE(Filesystem in Userspace)를 통해 구현된 파일 시스템을 사용할 때 사용 가능한 리소스가 부족해지면 코드가 실행될 가능성을 허용합니다.
• CVE-2026-34743 — liblzma 라이브러리의 lzma_index_append() 함수 구현에서 버퍼 오버플로 취약점이 발견되었습니다. 이 문제는 항목이 없는 인덱스를 디코딩하기 위해 lzma_index_decoder() 함수를 사용할 때 발생하며, 필요한 크기보다 작은 버퍼가 할당됩니다. 저수준 lzma_index* API는 애플리케이션에서 매우 드물게 사용되므로, 인덱스 처리에 필요한 조건을 충족하는 애플리케이션에서 이 취약점이 악용될 가능성은 낮습니다. 이 취약점은 XZ Utils 5.8.3 버전에서 수정되었습니다.

출처 : opennet.ru