n8n 워크플로우 표현식 평가 엔진 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2025-68613)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTn8n 버전 0.211.0 이상 및 1.120.4, 1.121.1, 1.122.0 미만 버전
인증된 공격자가 워크플로우 구성 중 불충분하게 격리된 실행 컨텍스트를 악용하여 n8n 프로세스 권한으로 임의 시스템 명령을 실행하고 인스턴스를 완전히 장악할 수 있습니다
즉시 n8n 공식 패치 버전(1.120.4, 1.121.1, 1.122.0 이상)으로 업그레이드를 수행하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
n8n 개발사에서 제공하는 공식 패치 버전(1.120.4, 1.121.1, 1.122.0 이상)으로 즉시 업그레이드하십시오. Docker 환경을 사용하는 경우 아래 명령어를 통해 최신 안전 버전으로 이미지를 갱신하고 컨테이너를 재시작할 수 있습니다.
# Docker Compose 환경 업그레이드 예시
# docker-compose.yml 파일 내 n8n 이미지를 안전한 버전(예: 1.122.0)으로 수정 후 실행
sed -i 's/n8nio\/n8n:.*/n8nio\/n8n:1.122.0/g' docker-compose.yml
# 컨테이너 정지 및 최신 이미지 풀링 후 재시작
docker-compose down
docker-compose pull
docker-compose up -d2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 불가능한 경우, 위험을 최소화하기 위해 아래의 임시 완화 조치를 적용하십시오.
- 신뢰할 수 없는 사용자 제한: n8n의 워크플로우 생성 및 편집 권한을 신뢰할 수 있는 관리자 그룹으로만 엄격히 제한하십시오.
- 최소 권한 원칙 적용: n8n 컨테이너가 호스트의 root 권한으로 실행되지 않도록 비특권 사용자(non-root user) 환경으로 격리하십시오.
- 네트워크 아웃바운드 제한: n8n 서버가 불필요한 외부 인터넷으로 아웃바운드 연결을 생성하지 못하도록 방화벽 규칙을 설정하십시오.
# iptables를 이용한 n8n 컨테이너의 불필요한 외부 아웃바운드 트래픽 차단 예시 (필요한 도메인만 허용)
# n8n 컨테이너의 IP가 172.18.0.5인 경우
iptables -A FORWARD -s 172.18.0.5 -p tcp --dport 80 -j REJECT
iptables -A FORWARD -s 172.18.0.5 -p tcp --dport 443 -m state --state NEW -j REJECT3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
n8n 컨테이너 내부 또는 호스트 로그에서 비정상적인 하위 프로세스 생성 및 쉘 실행 흔적을 점검하십시오. 아래 스크립트를 통해 현재 구동 중인 n8n의 버전을 확인하고 취약 여부를 진단할 수 있습니다.
# 실행 중인 n8n 컨테이너의 버전 확인 스크립트
CONTAINER_ID=$(docker ps -q --filter ancestor=n8nio/n8n)
if [ -n '$CONTAINER_ID' ]; then
CURRENT_VER=$(docker exec -it $CONTAINER_ID n8n --version | tr -d '\r')
echo '[+] Current n8n Version: '$CURRENT_VER
# 취약 버전 여부 간이 체크 (예: 1.120.0 ~ 1.120.3 등)
if [[ '$CURRENT_VER' =~ ^0\. || '$CURRENT_VER' =~ ^1\.(1[0-9]|120\.[0-3]|121\.0)$ ]]; then
echo '[!] WARNING: This version is VULNERABLE to CVE-2025-68613. Immediate patch required.'
else
echo '[+] Status: Safe or patched version.'
fi
else
echo '[-] No running n8n container found.'
fi내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요
간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2025-68613)은 오픈소스 워크플로우 자동화 플랫폼인 n8n의 표현식 평가(Expression Evaluation) 시스템에서 발생하는 심각한 원격 코드 실행(RCE) 취약점입니다. n8n은 사용자가 워크플로우 내에서 동적 데이터를 처리할 수 있도록 자바스크립트 기반의 표현식을 지원합니다. 그러나 특정 버전 범위에서 인증된 사용자가 입력한 표현식이 기본 런타임 환경(Node.js)으로부터 충분히 격리되지 않은 채 실행되는 설계상 결함(CWE-913)이 존재합니다. 이로 인해 샌드박스를 우회하여 호스트 OS의 시스템 자원에 직접 접근할 수 있는 경로가 노출됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 n8n 인스턴스에 대한 유효한 계정(인증된 사용자 권한)을 보유한 상태에서 워크플로우 노드를 생성하거나 편집할 수 있는 권한을 악용합니다. 워크플로우 설정 매개변수에 악의적으로 조작된 자바스크립트 표현식(예: 프로토타입 오염 또는 Node.js 내장 모듈인 'child_process' 등에 접근하는 페이로드)을 주입합니다. n8n 엔진이 해당 워크플로우를 실행하거나 테스트 평가를 수행할 때, 격리되지 않은 컨텍스트 내에서 주입된 코드가 해석되어 n8n 프로세스가 실행 중인 컨테이너 또는 호스트 OS 상에서 임의 명령어가 실행됩니다. 본 취약점은 실제 야생에서 악용(In-the-Wild)되어 CISA KEV 목록에 등재되었으며, Zerobot 악성코드 캠페인 등에서 n8n 인스턴스를 감염시키고 봇넷에 편입시키는 데 적극적으로 활용되고 있습니다.
3. 비즈니스 및 인프라 파급 영향
n8n은 기업 내에서 데이터 파이프라인, API 연동, 자격 증명(Credentials) 관리 등 핵심 비즈니스 로직을 자동화하는 데 널리 사용됩니다. 따라서 본 취약점이 성공적으로 익스플로잇될 경우, 공격자는 n8n에 저장된 타사 서비스(AWS, Slack, 데이터베이스 등)의 API 키와 자격 증명을 탈취할 수 있습니다. 또한, 내부 네트워크로의 횡적 이동(Lateral Movement)을 위한 교두보로 악용되거나, 시스템 권한을 장악당해 랜섬웨어 유포 및 데이터 유출 등의 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
n8n is an open source workflow automation platform. Versions starting with 0.211.0 and prior to 1.120.4, 1.121.1, and 1.122.0 contain a critical Remote Code Execution (RCE) vulnerability in their workflow expression evaluation system. Under certain conditions, expressions supplied by authenticated users during workflow configuration may be evaluated in an execution context that is not sufficiently isolated from the underlying runtime. An authenticated attacker could abuse this behavior to execute arbitrary code with the privileges of the n8n process. Successful exploitation may lead to full compromise of the affected instance, including unauthorized access to sensitive data, modification of workflows, and execution of system-level operations. This issue has been fixed in versions 1.120.4, 1.121.1, and 1.122.0. Users are strongly advised to upgrade to a patched version, which introduces additional safeguards to restrict expression evaluation. If upgrading is not immediately possible, administrators should consider the following temporary mitigations: Limit workflow creation and editing permissions to fully trusted users only; and/or deploy n8n in a hardened environment with restricted operating system privileges and network access to reduce the impact of potential exploitation. These workarounds do not fully eliminate the risk and should only be used as short-term measures.
자주 묻는 실무 질문 (FAQ — CVE-2025-68613)
FAQQ1. CVE-2025-68613 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2025-68613의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2025-68613에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 n8n이며, 대상 컴포넌트는 n8n입니다. 상세 영향 범위: n8n 버전 0.211.0 이상 ~ 1.120.4 미만, 1.121.1 미만, 1.122.0 미만 전체
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 즉시 n8n 공식 패치 버전(1.120.4, 1.121.1, 1.122.0 이상)으로 업그레이드를 수행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2025-68613 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (n8n)
동일 카테고리 전체 보기 →GitLab CE/EE 미인증 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-97229)
[영향 대상] GitLab CE/EE 19.2(19.2.8 미만), 19.3(19.3.5 미만), 19.4(19.4.2 미만) 버전
GitLab CE/EE 미인증 임의 파일 읽기 취약점 보안 권고 (CVE-2026-85706)
[영향 대상] GitLab CE/EE 18.7 버전부터 19.3.1 버전 사이의 특정 릴리즈 사용자
Google Brotli 디코더 원격 코드 실행(RCE) 및 메모리 손상 취약점 보안 권고 (CVE-2026-111497)
[영향 대상] Google Brotli 라이브러리 버전 1.0.3 ~ 1.2.0을 사용하는 모든 웹 서버, 브라우저, Node.js 및 백엔드 애플리케이션
JFrog Artifactory 기본 설정 인증 우회 및 관리자 권한 상승 취약점 (CVE-2026-82329)
[영향 대상] 기본 구성으로 배포된 JFrog Artifactory 자가 관리형(Self-Managed) 인스턴스
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.