Elastic Kibana Timelion 프로토타입 오염 기반 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2019-7609)

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2019-7609)은 Elastic Kibana의 시각화 컴포넌트인 Timelion에서 발생하는 프로토타입 오염(Prototype Pollution) 및 코드 주입(Code Injection) 취약점입니다 [1, CWE-94]. Node.js 환경에서 실행되는 Kibana는 사용자 입력 데이터를 적절히 검증하지 않고 객체 속성을 병합하거나 확장하는 과정에서 자바스크립트의 기본 객체 프로토타입(Object.prototype)을 오염시킬 수 있는 결함을 가지고 있습니다. 공격자는 이를 악용하여 애플리케이션 내부의 전역 객체 속성을 조작하고, 이후 실행되는 코드 흐름을 방해하여 임의의 자바스크립트 코드가 실행되도록 유도합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Kibana의 Timelion 애플리케이션 인터페이스에 접근하여 악성 페이로드가 포함된 HTTP 요청을 전송합니다. 전형적인 익스플로잇 시나리오는 다음과 같습니다:

• 공격자는 Timelion의 데이터 모델 파서가 처리하는 요청 본문에 __proto__ 또는 constructor.prototype 경로를 포함하는 JSON 페이로드를 주입합니다.
• 이 페이로드는 Node.js의 자식 프로세스 생성 모듈(예: child_process.spawn 또는 fork)이 참조하는 환경 변수(env)나 실행 옵션을 오염시킵니다.
• 오염된 프로토타입으로 인해 Kibana가 내부 작업을 위해 새로운 프로세스를 생성할 때, 공격자가 주입한 NODE_OPTIONS 환경 변수(예: --require 옵션을 통한 악성 스크립트 로드)가 강제로 활성화됩니다.
• 결과적으로 Kibana 호스트 OS 상에서 공격자가 의도한 리버스 쉘(Reverse Shell) 등의 임의 시스템 명령어가 Kibana 프로세스 권한으로 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 10.0(Critical)의 최고 위험도를 기록하고 있으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용되고 있음이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, Kibana 서버가 구동 중인 호스트 시스템의 완전한 제어권을 획득하게 됩니다. 이는 내부 네트워크로의 횡적 이동(Lateral Movement), 데이터베이스 자격 증명 탈취, 로그 데이터 위변조 및 파괴, 그리고 랜섬웨어 유포지로의 악용 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 및 데이터 유출 사고를 초래할 수 있습니다.