GNOME Epiphany 브라우저 권한 우회 및 카메라/마이크 무단 접근 취약점 (CVE-2026-118598)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTGNOME Epiphany 브라우저 45.0 이상 51.x 이하 버전
사용자가 클립보드 또는 웹사이트 데이터 접근 권한만 승인해도, 공격자가 추가 경고 없이 카메라 및 마이크에 접근하여 시청각 정보를 탈취할 수 있습니다
Epiphany 브라우저를 최신 패치 버전(커밋 480c3648 적용 버전)으로 즉시 업데이트하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
리눅스 배포판의 패키지 관리자를 통해 Epiphany(GNOME Web) 브라우저를 최신 버전으로 업데이트하십시오. GNOME 업스트림 메인라인 커밋 480c3648이 반영된 패키지를 적용해야 합니다.
# Debian/Ubuntu 계열 시스템 업데이트
sudo apt-get update
sudo apt-get install --only-upgrade epiphany-browser -y
# Fedora/RHEL 계열 시스템 업데이트
sudo dnf upgrade epiphany -y
# Flatpak 패키지 업데이트 (Epiphany를 Flatpak으로 설치한 경우)
flatpak update org.gnome.Epiphany -y2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용이 불가능한 환경에서는 Epiphany 브라우저 설정에서 신뢰할 수 없는 사이트의 권한 요청을 원천 차단하거나, 브라우저 실행 시 카메라 및 마이크 장치 접근을 샌드박스 수준에서 제한해야 합니다.
# Flatpak 환경에서 Epiphany의 장치(카메라/마이크) 접근 권한을 강제로 회수
flatpak override --user --nosocket=fallback-x11 --nodevice=all org.gnome.Epiphany3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
현재 시스템에 설치된 Epiphany 브라우저의 버전을 확인하여 취약한 버전 범위에 해당하는지 점검하는 스크립트입니다.
#!/bin/bash
# Epiphany 설치 버전 확인 스크립트
if command -v epiphany &> /dev/null; then
VERSION=$(epiphany --version | awk '{print $2}')
echo '[+] Epiphany Browser Version: '$VERSION
# 버전 비교 (45.0 이상인지 확인)
if [ '$(printf '%s\
' '45.0' '$VERSION' | sort -V | head -n1)' = '45.0' ]; then
echo '[!] Warning: 취약한 버전 범위(>= 45.0)에 노출되어 있을 가능성이 있습니다. 패치를 권장합니다.'
else
echo '[+] Safe: 취약 대상 버전이 아닙니다.'
fi
else
echo '[-] Epiphany 브라우저가 시스템에 설치되어 있지 않습니다.'
fi패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점은 GNOME Epiphany 브라우저의 권한 처리 로직 오류(CWE-863)로 인해 발생합니다. src/ephy-window.c 파일의 set_permission() 함수는 WebKit 권한 요청 대화상자에서 사용자가 선택한 허용/거부(Allow/Deny) 결정을 저장하는 역할을 수행합니다. 그러나 클립보드(CLIPBOARD) 및 웹사이트 데이터 접근(WEBSITE_DATA_ACCESS) 권한 유형은 권한 관리자에 의해 영구 저장되지 않는 유형으로 분류됩니다. 이로 인해 제어 흐름이 예외 처리 분기로 넘어가게 되는데, 해당 조건문이 else if (EPHY_PERMISSION_TYPE_ACCESS_WEBCAM_AND_MICROPHONE)와 같이 상수로 잘못 작성되어 있었습니다. 이 조건식은 항상 참(Non-zero)으로 평가되므로, 사용자가 클립보드나 데이터 접근 권한만 승인해도 브라우저 내부적으로 해당 사이트에 대해 카메라 및 마이크 권한(EPHY_PERMISSION_PERMIT)을 강제로 부여하게 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 악성 웹사이트를 구축한 뒤, 피해자가 해당 페이지를 방문하도록 유도합니다. 웹사이트는 사용자에게 클립보드 읽기/쓰기 권한 또는 웹사이트 데이터 접근 권한을 요청하는 팝업을 띄웁니다. 사용자가 이 요청에 대해 '허용(Allow)'을 클릭하는 순간, 취약한 권한 처리 로직이 실행되어 내부적으로 카메라 및 마이크 권한까지 자동으로 승인 상태로 변경됩니다. 이후 공격자는 추가적인 사용자 동의나 경고 창 노출 없이 getUserMedia API를 호출하여 피해자의 카메라 화면과 마이크 음성을 실시간으로 가로챌 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 사용자의 시청각적 프라이버시를 심각하게 침해합니다. 기업 환경에서 임직원이 취약한 버전의 Epiphany 브라우저를 사용하여 외부 협업 툴이나 웹사이트를 이용할 경우, 회의 내용이나 주변 환경 정보가 무단으로 유출될 수 있습니다. 비록 공격 성공을 위해 사용자의 1차적인 상호작용(클립보드 등 권한 허용 클릭)이 필요하지만, 일반적인 웹 서비스에서 흔히 요구하는 권한이므로 사용자가 의심 없이 허용할 가능성이 매우 높아 실질적인 위험도가 높습니다.
공식 보안 권고문 및 참조 링크
A logic error in Epiphany's site permission handling can cause camera and microphone access to be granted when the user only approves a different permission. In src/ephy-window.c, set_permission() stores the user's Allow/Deny choice after a WebKit permission dialog. Types CLIPBOARD and WEBSITE_DATA_ACCESS are not stored by ephy_permission_is_stored_by_permissions_manager(), so control fell into an else-if that was written as: } else if (EPHY_PERMISSION_TYPE_ACCESS_WEBCAM_AND_MICROPHONE) { Because that expression is a non-zero enum constant, the branch always ran for those types and wrote EPHY_PERMISSION_PERMIT for both ACCESS_WEBCAM and ACCESS_MICROPHONE for the site origin. The user only saw a Clipboard or Website Data Access dialog. A malicious site that obtains approval for clipboard or third-party storage access can afterwards use getUserMedia without a further camera/microphone prompt, exposing audiovisual confidentiality. Requirements: the victim must visit a malicious page and click Allow on a clipboard or website-data-access prompt. Affected: Epiphany >= 45.0 (bug present at least through 51.x). Fixed: https://gitlab.gnome.org/GNOME/epiphany/-/merge_requests/2249 (commit 480c3648). Upstream: https://gitlab.gnome.org/GNOME/epiphany/-/work_items/2976 Reporter acknowledgment: Fernando Munoz
자주 묻는 실무 질문 (FAQ — CVE-2026-118598)
FAQQ1. CVE-2026-118598 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2026-118598의 기본 점수는 CVSS 6.5 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 0.5%입니다. 외부 네트워크 노출 여부에 따라 선제적인 패치 및 접근 제어가 권장됩니다.
Q2. CVE-2026-118598에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 gnome이며, 대상 컴포넌트는 epiphany입니다. 상세 영향 범위: GNOME Epiphany 브라우저 버전 45.0 이상 (51.x 버전 포함)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Epiphany 브라우저를 최신 패치 버전(커밋 480c3648 적용 버전)으로 즉시 업데이트하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2026-118598 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (gnome)
동일 카테고리 전체 보기 →GNOME Epiphany 브라우저 WebExtension 설치 프로세스 임의 파일 덮어쓰기 취약점 (CVE-2026-118599)
[영향 대상] GNOME Epiphany 브라우저 47.0 이상 버전
GNOME json-glib 라이브러리 무한 루프 기반 서비스 거부(DoS) 취약점 (CVE-2026-120194) 분석 및 대응 가이드
[영향 대상] GNOME json-glib 라이브러리를 사용하여 외부 입력값 기반의 JSONPath 쿼리(json_path_query)를 처리하는 애플리케이션 및 시스템
Apple macOS 화면 공유(Screen Sharing) 인증 우회 취약점 (CVE-2026-65400)
[영향 대상] macOS Sequoia 15.7.9 미만, Sonoma 14.8.9 미만, Tahoe 26.6.1/26.7 미만, Golden Gate 27 미만 버전에서 화면 공유(Screen Sharing) 또는 VNC 서비스를 활성화하여 사용 중인 시스템
DAEMON Tools Lite 공식 설치 패키지 공급망 공격 및 백도어 삽입 취약점 (CVE-2026-8398)
[영향 대상] 2026년 4월 8일부터 5월 5일 사이에 공식 웹사이트에서 다운로드된 DAEMON Tools Lite Windows 버전 12.5.0.2421 ~ 12.5.0.2434
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.