CVE 데이터베이스CVE-2018-6065

최종 갱신 2026-06-17English Advisory →

CVE-2018-60658.8/HIGHCISA KEV 등재CWE-190CWE-190

Google Chrome V8 엔진 정수 오버플로우 기반 힙 손상 취약점 (CVE-2018-6065) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

google, redhat, debian

대상 컴포넌트 / 패키지

chrome, v8, rhel, debian_linux

권고문 발행일

2018-11-14

CVSS v3.1

8.8

HIGH

30일 악용확률

60.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

65.0.3325.146 미만 버전의 Google Chrome 브라우저 및 V8 자바스크립트 엔진을 사용하는 애플리케이션

파급 효과

공격자가 악의적으로 조작한 HTML 페이지를 사용자가 방문하도록 유도하여 대상 시스템에서 힙 손상 및 원격 코드 실행(RCE)을 유발할 수 있음

권장 조치

Google Chrome 브라우저를 최신 안정화 버전(65.0.3325.146 이상)으로 즉시 업데이트하고, 관련 OS 패키지를 갱신하십시오

영향받는 제품 및 버전 범위

Google Chrome 65.0.3325.146 미만 버전 (Windows, macOS, Linux) 및 해당 버전의 V8 엔진을 탑재한 Chromium 기반 브라우저, Node.js 등 런타임 환경

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

데비안/우분투 계열 리눅스 환경 및 Red Hat 계열 환경에서 Chrome 브라우저와 관련 패키지를 최신 버전으로 업데이트합니다.

bash

# Debian/Ubuntu 계열 패키지 업데이트 및 Chrome 업그레이드
sudo apt-get update && sudo apt-get --only-upgrade install google-chrome-stable -y

# Red Hat/RHEL 계열 패키지 업데이트
sudo yum update google-chrome-stable -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 환경에서는 그룹 정책(GPO) 또는 설정 파일을 통해 신뢰할 수 없는 외부 웹사이트로의 아웃바운드 접속을 제한하고, 샌드박스 모드가 비활성화되지 않도록 강제 설정해야 합니다.

bash

# Chrome 실행 시 샌드박스 보안 기능이 활성화되어 있는지 확인 (비활성화 옵션 사용 금지)
# --no-sandbox 옵션 사용 여부를 프로세스 리스트에서 점검
ps aux | grep chrome | grep '--no-sandbox'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 설치된 Google Chrome의 버전을 확인하여 취약한 버전(65.0.3325.146 미만)이 구동 중인지 검증하는 스크립트입니다.

bash

# 설치된 Chrome 버전 확인 스크립트
if command -v google-chrome >/dev/null 2>&1; then
    CURRENT_VERSION=$(google-chrome --version | awk '{print $3}')
    echo '[INFO] Current Google Chrome Version: '$CURRENT_VERSION
    # 버전 비교 로직 (간이 검증)
    if [ '$(printf '%s\
' '65.0.3325.146' '$CURRENT_VERSION' | sort -V | head -n1)' != '65.0.3325.146' ]; then
        echo '[WARNING] Vulnerable Chrome version detected! Immediate update required.'
    else
        echo '[OK] Chrome version is secure.'
    fi
else
    echo '[INFO] Google Chrome is not installed via default command path.'
fi

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

실제 악용 사례가 확인된 고위험 취약점이므로, 엔드포인트 내 Google Chrome 브라우저를 즉시 v65.0.3325.146 이상으로 업데이트하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-6065)은 Google Chrome의 V8 자바스크립트 엔진에서 새로운 객체를 인스턴스화할 때 필요한 메모리 할당 크기를 계산하는 과정에서 발생하는 정수 오버플로우(Integer Overflow, CWE-190) 취약점입니다. 객체 생성 시 크기 검증 로직의 미흡으로 인해, 매우 큰 크기의 속성이나 배열을 가진 객체를 정의할 때 내부 계산 값이 오버플로우되어 실제 필요한 크기보다 훨씬 작은 크기의 메모리 버퍼가 힙(Heap) 영역에 할당됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 제작된 자바스크립트 코드가 포함된 HTML 페이지를 구성합니다. 사용자가 이 페이지를 방문하면 V8 엔진은 객체 인스턴스화를 시도하며, 정수 오버플로우로 인해 과소 할당된 힙 버퍼에 대량의 객체 데이터를 기록하게 됩니다. 이 과정에서 인접한 힙 메모리 영역의 데이터가 덮어씌워지는 힙 손상(Heap Corruption)이 발생합니다. 공격자는 이를 통해 자바스크립트 실행 컨텍스트 내에서 임의의 메모리 주소에 접근하고 읽기/쓰기 권한을 획득하여, 최종적으로 샌드박스를 우회하거나 대상 시스템에서 원격 코드를 실행(RCE)할 수 있는 발판을 마련합니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인된 고위험군 취약점입니다. EPSS 점수 또한 0.603(60.3%)으로 매우 높은 공격 위협을 나타내고 있습니다. 임직원이 취약한 버전의 브라우저를 사용하여 악성 웹사이트에 접속할 경우, 엔드포인트 단말기가 완전히 장악되어 내부망 침투, 기밀 데이터 유출, 랜섬웨어 감염 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Integer overflow in computing the required allocation size when instantiating a new javascript object in V8 in Google Chrome prior to 65.0.3325.146 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.

http://www.securityfocus.com/bid/103297

출처: chrome-cve-admin@google.com · Broken Link, Third Party Advisory, VDB Entry

https://access.redhat.com/errata/RHSA-2018:0484

출처: chrome-cve-admin@google.com · Third Party Advisory

https://chromereleases.googleblog.com/2018/03/stable-channel-update-for-desktop.html

출처: chrome-cve-admin@google.com · Release Notes, Vendor Advisory

https://crbug.com/808192

출처: chrome-cve-admin@google.com · Exploit, Issue Tracking

https://www.debian.org/security/2018/dsa-4182

출처: chrome-cve-admin@google.com · Mailing List, Third Party Advisory

https://www.exploit-db.com/exploits/44584/

출처: chrome-cve-admin@google.com · Exploit, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2018-6065)

FAQ

Q1. CVE-2018-6065 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-6065의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 60.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2018-6065에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 google, redhat, debian이며, 대상 컴포넌트는 chrome, v8, rhel, debian_linux입니다. 상세 영향 범위: Google Chrome 65.0.3325.146 미만 버전 (Windows, macOS, Linux) 및 해당 버전의 V8 엔진을 탑재한 Chromium 기반 브라우저, Node.js 등 런타임 환경

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Google Chrome 브라우저를 최신 안정화 버전(65.0.3325.146 이상)으로 즉시 업데이트하고, 관련 OS 패키지를 갱신하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동