CVE 취약점 권고문 데이터베이스

[영향 대상] FFmpeg 버전 2.1부터 9.0.2 사이의 PCX 이미지 디코더 모듈

[파급 효과] 공격자가 조작한 PCX 이미지를 처리할 때 초기화되지 않은 힙 메모리 영역이 디코딩된 픽셀 데이터로 복사되어 민감한 정보가 외부로 유출될 수 있음

[권장 조치] FFmpeg 공식 패치 커밋을 적용하거나, 취약점이 해결된 최신 안정화 버전으로 업데이트 수행

[영향 대상] FFmpeg 버전 2.0부터 9.0.2 사이의 Go2Meeting(G2M) 디코더 모듈

[파급 효과] 공격자가 조작된 G2M3/G2M4 스트림을 전송하여 스택 가드 및 포인터를 포함한 민감한 스택 메모리 데이터를 유출할 수 있음

[권장 조치] FFmpeg 최신 패치 버전을 적용하거나, 취약한 G2M 디코더 사용을 비활성화하는 빌드 옵션 적용

[영향 대상] PostyBirb Plus 3.1.75 이하 버전

[파급 효과] 공격자가 제출물 설명 편집기(Submission Description Editor)를 통해 악성 스크립트를 삽입하여 사용자의 브라우저 컨텍스트에서 임의의 코드를 실행할 수 있습니다

[권장 조치] 공식 패치가 적용된 최신 버전인 3.1.76 이상으로 즉시 업그레이드를 수행하십시오

[영향 대상] 1.2.1.0 미만 버전의 Perl XS::libbrotli 모듈 및 이를 정적 링크하여 빌드된 의존성 XS 모듈

[파급 효과] 신뢰할 수 없는 Brotli 압축 스트림을 디코딩할 때 메모리 오염, 프로세스 크래시, 정보 유출 및 원격 코드 실행(RCE) 유발 가능

[권장 조치] XS::libbrotli 모듈을 최신 버전(1.2.1.0 이상)으로 업그레이드하고, 해당 모듈에 의존하는 하위 Perl 모듈들을 재빌드 및 재배포

[영향 대상] Apache Thrift 0.24.0 미만 버전을 사용하는 Java 기반 애플리케이션 및 서비스

[파급 효과] 악의적으로 조작된 중첩 메시지를 처리할 때 스택 오버플로우(Stack Overflow)가 발생하여 대상 JVM 프로세스가 비정상 종료(DoS)될 수 있습니다

[권장 조치] Apache Thrift Java 라이브러리 의존성을 최신 보안 패치가 적용된 0.24.0 이상 버전으로 즉시 업그레이드하십시오

[영향 대상] Apache MINA 3.0.0 비활성 브랜치 및 해당 코덱 모듈을 사용하는 Java 애플리케이션

[파급 효과] 신뢰할 수 없는 피어로부터 전송된 프레임 바이트를 처리하는 과정에서 가젯 체인을 통한 무조건적인 원격 코드 실행(RCE)이 가능합니다

[권장 조치] 지원이 중단된 3.0.0 버전을 폐기하고, 공식 유지 관리 중인 최신 Apache MINA 2.2.X 브랜치로 마이그레이션하십시오

[영향 대상] Microsoft Visual Studio 제품군

[파급 효과] 네트워크상의 권한 없는 공격자가 인증서 검증 미흡을 악용하여 중간자 공격(MitM)을 수행하고, 민감한 데이터를 탈취하거나 스푸핑을 유도할 수 있습니다

[권장 조치] Microsoft 공식 업데이트 가이드를 참조하여 Visual Studio를 최신 보안 패치 버전으로 업데이트하십시오

[영향 대상] Perl WebDyne 모듈 버전 2.014 이상 3.022 미만을 사용하는 웹 애플리케이션

[파급 효과] 공격자가 악성 스크립트가 포함된 링크를 통해 사용자의 브라우저 컨텍스트에서 임의의 스크립트를 실행하고 세션 탈취 및 피싱 공격을 수행할 수 있습니다

[권장 조치] WebDyne 모듈을 최신 안전 버전인 3.022 이상으로 즉시 업그레이드하십시오

[영향 대상] WebDyne Perl 모듈 버전 2.014 이상 3.022 미만

[파급 효과] 세션 쿠키에 Secure, HttpOnly, SameSite 속성이 누락되어 네트워크 스니핑, XSS 스크립트, CSRF 공격을 통해 세션 탈취 및 무단 요청 실행이 가능합니다

[권장 조치] WebDyne 모듈을 최신 보안 패치가 적용된 3.022 이상 버전으로 즉시 업그레이드하십시오

[영향 대상] GNOME json-glib 라이브러리를 사용하여 외부 입력값 기반의 JSONPath 쿼리(json_path_query)를 처리하는 애플리케이션 및 시스템

[파급 효과] 공격자가 음수 스텝(negative step)이 포함된 악의적인 JSONPath 슬라이스 표현식을 전송할 경우, CPU 자원을 100% 점유하는 무한 루프가 발생하여 전체 서비스가 중단(DoS)될 수 있습니다

[권장 조치] json-glib 패키지를 최신 보안 패치 버전으로 업데이트하고, 패치 적용 전까지 사용자 입력값에서 JSONPath 슬라이스 구문(특히 음수 기호 '-')을 필터링하는 검증 로직을 도입하십시오

[영향 대상] Aedes MQTT 브로커 1.1.1 미만 버전을 사용하는 모든 Node.js 애플리케이션 및 인프라

[파급 효과] 공격자가 비정상적으로 깊은 계층의 토픽을 전송할 경우, 브로커 프로세스가 예외 처리에 실패하여 강제 종료(Crash) 및 서비스 중단 발생

[권장 조치] Aedes 패키지를 최신 보안 패치가 적용된 v1.1.1 버전으로 즉시 업데이트

[영향 대상] 0.21.1 미만 버전의 sevenz-rust2 라이브러리를 사용하는 Rust 기반 애플리케이션

[파급 효과] 악의적으로 조작된 7z 압축 파일 해제 시, 지정된 디렉토리를 벗어나 시스템 설정 파일 등을 덮어쓰고 원격 코드 실행(RCE) 유도 가능

[권장 조치] sevenz-rust2 의존성을 0.21.1 이상의 최신 버전으로 즉시 업데이트

[영향 대상] Google Brotli 라이브러리 버전 1.0.3 ~ 1.2.0을 사용하는 모든 웹 서버, 브라우저, Node.js 및 백엔드 애플리케이션

[파급 효과] 인증되지 않은 원격 공격자가 조작된 압축 스트림을 전송하여 시스템 메모리를 오염시키고 임의 코드를 실행(RCE)하거나 서비스 거부(DoS) 유발 가능

[권장 조치] 사용 중인 Brotli 라이브러리 및 관련 종속 패키지를 최신 보안 패치 버전(1.0.10, 1.1.1, 1.2.1 이상)으로 즉시 업데이트

[영향 대상] GitLab CE/EE 19.2(19.2.8 미만), 19.3(19.3.5 미만), 19.4(19.4.2 미만) 버전

[파급 효과] 인증되지 않은 공격자가 특수하게 조작된 CI/CD 구성을 통해 서버에서 임의 코드를 실행하고 시스템 전체 권한을 탈취할 수 있음

[권장 조치] 즉시 최신 보안 패치 버전(19.2.8, 19.3.5, 19.4.2)으로 업그레이드 수행

[영향 대상] GitLab CE/EE 18.7 버전부터 19.3.1 버전 사이의 특정 릴리즈 사용자

[파급 효과] 인증되지 않은 원격 공격자가 서버 내의 민감한 시스템 파일(/etc/passwd, gitlab.rb 등)을 탈취하여 관리자 권한 획득 가능

[권장 조치] 사용 중인 GitLab 버전에 따른 최신 보안 패치(18.11.12, 19.0.9, 19.1.8, 19.2.6, 19.3.2 이상) 즉시 적용

[영향 대상] 기본 구성으로 배포된 JFrog Artifactory 자가 관리형(Self-Managed) 인스턴스

[파급 효과] 네트워크 접근이 가능한 인증되지 않은 공격자가 인증 메커니즘을 우회하여 최고 관리자(Admin) 권한을 획득하고 시스템을 완전히 장악할 수 있습니다

[권장 조치] JFrog 공식 보안 권고를 참조하여 최신 안전 버전으로 즉시 업그레이드하고, 패치 적용 전까지 외부 네트워크로부터의 접근을 차단하십시오

[영향 대상] Gitea 1.27.1 미만 버전

[파급 효과] 인증되지 않은 원격 공격자가 diffpatch API를 통해 악성 Git Hook을 설치하고 서버 권한으로 임의의 시스템 명령을 실행할 수 있습니다.

[권장 조치] Gitea 인스턴스를 최신 보안 패치가 적용된 1.27.1 이상 버전으로 즉시 업데이트하고, Git Hook 기능을 비활성화하십시오.

[영향 대상] JFrog Artifactory Self-Managed 설치형 제품군 전체

[파급 효과] 익명 접근이 비활성화된 환경에서도 인증되지 않은 공격자가 내부 토큰을 탈취하여 민감한 아티팩트 및 소스코드 리포지토리에 무단 접근 가능

[권장 조치] JFrog 공식 보안 패치가 적용된 최신 버전으로 즉시 업그레이드 및 인증 설정 전수 조사

[영향 대상] 특정 원격 저장소(Remote Repository) 설정이 활성화된 JFrog Artifactory 자가 관리형(Self-Managed) 인스턴스

[파급 효과] 인증된 공격자가 Docker 캐시 경로를 벗어나 임의의 경로에 데이터를 작성하여 시스템 무결성을 훼손할 수 있습니다

[권장 조치] JFrog Artifactory를 최신 안전한 버전으로 즉시 업그레이드하고, 임시 조치로 신뢰할 수 없는 원격 저장소 설정을 제한하십시오

[영향 대상] JFrog Artifactory Self-Hosted 7.133.11 미만 버전

[파급 효과] 낮은 권한의 사용자가 토큰 스코프 검증 미흡을 악용하여 관리자 권한을 획득하고 전체 아티팩트 및 소스코드 탈취 가능

[권장 조치] 즉시 7.133.11 이상 버전으로 업그레이드하고 기존 발급된 액세스 토큰에 대한 전수 보안 감사 실시