CVE 데이터베이스CVE-2026-22871

최종 갱신 2026-06-17English Advisory →

CVE-2026-228719.8/CRITICALCWE-22

GuardDog CLI 경로 이탈(Path Traversal) 취약점을 통한 임의 파일 덮어쓰기 및 원격 코드 실행(RCE) 취약점 (CVE-2026-22871)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

datadog

대상 컴포넌트 / 패키지

guarddog

권고문 발행일

2026-01-13

CVSS v3.1

9.8

CRITICAL

30일 악용확률

1.1%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

GuardDog 2.7.1 미만 버전을 사용하는 모든 시스템 및 CI/CD 파이프라인

파급 효과

악성 PyPI 패키지 검사 시, 패키지 내 조작된 경로를 통해 시스템 내 임의 파일이 덮어씌워져 원격 코드 실행(RCE)으로 이어질 수 있음

권장 조치

GuardDog 패키지를 최신 보안 패치가 적용된 2.7.1 이상 버전으로 즉시 업데이트 수행

영향받는 제품 및 버전 범위

GuardDog 2.7.1 미만 모든 버전 (2.7.1 버전에서 패치 완료)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

GuardDog 개발사에서 취약점이 해결된 2.7.1 버전을 배포하였습니다. pip 또는 poetry 등 사용하는 패키지 관리자를 통해 즉시 업그레이드를 수행하십시오.

bash

# pip를 사용하는 경우 최신 버전으로 업그레이드
pip install --upgrade guarddog

# 특정 안전 버전(2.7.1 이상)을 지정하여 설치
pip install 'guarddog>=2.7.1'

# Poetry를 사용하는 경우 업데이트
poetry add guarddog@latest

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 환경에서는 GuardDog이 실행되는 환경의 권한을 최소화하여 피해를 제한해야 합니다. 컨테이너 환경에서 실행 시 root 권한이 아닌 비특권 사용자(non-root) 계정으로 실행하도록 설정하십시오.

bash

# Dockerfile 내에서 비특권 사용자 실행 설정 예시
FROM python:3.10-slim
RUN useradd -m security_analyst
USER security_analyst
WORKDIR /home/security_analyst
RUN pip install --user guarddog==2.7.0
# 임시 조치로 쓰기 권한이 제한된 디렉터리 내에서만 실행되도록 제한

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템에 설치된 GuardDog의 버전을 확인하고, 의심스러운 파일 쓰기 시도가 있었는지 점검하는 스크립트입니다.

bash

# 설치된 GuardDog 버전 확인
installed_version=$(pip show guarddog | grep Version | awk '{print $2}')
echo 'Installed GuardDog Version:' $installed_version

# 2.7.1 미만 버전 여부 판별
if [ '$(printf '%s\
' '2.7.1' '$installed_version' | sort -V | head -n1)' != '2.7.1' ]; then
  echo '[WARNING] 취약한 GuardDog 버전이 감지되었습니다. 즉시 업데이트가 필요합니다.'
else
  echo '[INFO] 안전한 버전이 설치되어 있습니다.'
fi

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

공급망 보안 도구 자체의 취약점으로 인한 인프라 침해를 방지하기 위해, GuardDog을 즉시 2.7.1 이상 버전으로 업데이트하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-22871)은 PyPI 패키지의 악성 여부를 식별하는 CLI 도구인 GuardDog의 safe_extract() 함수에서 발생하는 경로 이탈(Path Traversal, CWE-22) 취약점입니다. GuardDog은 다운로드된 PyPI 패키지 아카이브를 압축 해제하여 분석하는 과정을 거치는데, 이 과정에서 아카이브 내부 파일들의 상대 경로를 적절히 검증하지 못하여 발생합니다. 공격자가 상위 디렉터리 참조 문자열(예: ../)이 포함된 악성 패키지를 구성할 경우, 압축 해제 대상 디렉터리를 벗어나 시스템의 임의 경로에 파일이 생성되거나 기존 파일이 덮어씌워질 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 GuardDog의 탐지 메커니즘을 우회하거나 분석 환경을 장악하기 위해 특수하게 제작된 악성 PyPI 패키지를 배포하거나 로컬 분석 대상에 포함시킵니다. GuardDog이 해당 패키지를 검사하기 위해 safe_extract()를 호출하면, 아카이브 내부에 포함된 ../../../../etc/cron.d/malicious_job 또는 ../../../../home/user/.bashrc와 같은 경로를 가진 파일들이 검증 없이 시스템의 실제 해당 경로에 압축 해제됩니다. 이를 통해 공격자는 시스템의 중요 설정 파일이나 실행 스크립트를 덮어써서 권한을 상승시키고 최종적으로 원격 코드 실행(RCE)을 달성할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

GuardDog은 주로 개발자의 로컬 환경이나 DevSecOps CI/CD 빌드 파이프라인에서 오픈소스 의존성의 안전성을 검증하기 위해 사용됩니다. 따라서 본 취약점이 악용될 경우, 빌드 서버나 개발자 워크스테이션이 완전히 장악될 수 있습니다. 이는 소스 코드 유출, 공급망 공격(Supply Chain Attack)으로의 전이, 빌드 아티팩트 오염 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 및 신뢰도 저하를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

GuardDog is a CLI tool to identify malicious PyPI packages. Prior to 2.7.1, there is a path traversal vulnerability exists in GuardDog's safe_extract() function that allows malicious PyPI packages to write arbitrary files outside the intended extraction directory, leading to Arbitrary File Overwrite and Remote Code Execution on systems running GuardDog. This vulnerability is fixed in 2.7.1.

https://github.com/DataDog/guarddog/commit/9aa6a725b2c71d537d3c18d1c15621395ebb879c

출처: security-advisories@github.com · Patch

https://github.com/DataDog/guarddog/security/advisories/GHSA-xg9w-vg3g-6m68

출처: security-advisories@github.com · Third Party Advisory