Apache Thrift C++ 힙 버퍼 오버플로우 취약점(CVE-2026-55971), CVSS 9.8 긴급 패치 권고

핵심 요약

- Apache Thrift C++ 바인딩에서 힙 기반 버퍼 오버플로우 취약점(CVE-2026-55971) 발견, CVSS 9.8점(위험) 평가 - 0.24.0 미만 모든 버전이 영향권에 포함되며, 원격 공격자가 인증 없이 악용 가능 - Apache 재단은 2026년 7월 24일 보안 권고를 발표하고 0.24.0 버전으로 즉시 업그레이드 권고

주요 내용

Apache 소프트웨어 재단은 2026년 7월 24일, 분산 시스템 개발을 위한 RPC 프레임워크인 Apache Thrift의 C++ 바인딩에서 치명적인 힙 기반 버퍼 오버플로우 취약점을 공개했다. CVE-2026-55971로 등록된 이 취약점은 CVSS 3.x 기준 9.8점(Critical)으로 평가되어, 즉각적인 대응이 필요한 상황이다.

힙 버퍼 오버플로우는 프로그램이 힙 메모리 영역에 할당된 버퍼의 경계를 넘어 데이터를 쓸 때 발생하는 메모리 손상 취약점이다. 이번 취약점은 Apache Thrift의 C++ 구현체에서 직렬화/역직렬화 과정 중 입력 데이터 검증이 부적절하게 이루어져 발생한 것으로 추정된다. 공격자는 특수하게 조작된 Thrift 메시지를 전송하여 임의 코드 실행, 서비스 거부, 정보 유출 등을 수행할 수 있다.

Apache Thrift는 Facebook(현 Meta)에서 개발하여 아파치 재단에 기증한 오픈소스 프로젝트로, 다양한 프로그래밍 언어 간 효율적인 데이터 교환을 지원한다. 금융, 전자상거래, 클라우드 서비스 등 대규모 분산 시스템에서 광범위하게 사용되고 있어, 이번 취약점의 파급력은 상당할 것으로 예상된다.

Apache 재단은 OSS-Security 메일링 리스트를 통해 긴급 보안 권고를 발표하고, 0.24.0 버전에서 해당 취약점이 패치되었음을 공지했다. 현재까지 실제 공격 사례(exploit in the wild)는 보고되지 않았으나, 취약점 정보가 공개된 만큼 조속한 대응이 필요하다.

전문가 시각

ISMS-P 인증심사 관점에서 이번 사례는 공급망 보안 관리의 중요성을 재확인시킨다. 많은 기업들이 오픈소스 라이브러리 의존성 관리를 소홀히 하는 경향이 있는데, Apache Thrift처럼 핵심 통신 계층에서 사용되는 컴포넌트의 취약점은 전체 시스템 보안을 무력화할 수 있다. 특히 C++ 기반 네이티브 라이브러리는 메모리 안전성 문제로 인해 치명적인 취약점이 발생할 가능성이 높으므로, 정기적인 보안 업데이트 프로세스를 확립해야 한다.

실무 대응 측면에서는 즉시 자산 관리 시스템을 통해 Apache Thrift 사용 현황을 파악하고, 영향받는 시스템의 우선순위를 결정해야 한다. 마이크로서비스 아키텍처 환경에서는 컨테이너 이미지 내 포함된 라이브러리 버전까지 확인이 필요하다. 패치 적용 전까지 네트워크 세그멘테이션, WAF 규칙 강화, 비정상 트래픽 모니터링 등 보완적 통제를 적용하고, 패치 후에는 회귀 테스트를 통해 기능 정상성을 검증해야 한다.

영향받는 시스템 및 조치사항

영향 범위: Apache Thrift 0.24.0 미만의 모든 버전을 사용하는 시스템이 영향을 받는다. 특히 C++ 바인딩을 사용하여 컴파일된 서비스가 직접적인 공격 대상이다. Java, Python 등 다른 언어 바인딩은 이번 취약점의 직접적 영향권에서 벗어나지만, 동일 프로젝트 내 다른 취약점 존재 가능성을 고려하여 함께 업그레이드하는 것이 권장된다.

CVSS 점수 해석: CVSS 9.8점은 공격 복잡도(Low), 권한 요구사항(None), 사용자 상호작용(None) 모두 공격자에게 유리한 조건임을 의미한다. 네트워크를 통한 원격 공격이 가능하며(AV:N), 기밀성·무결성·가용성(CIA) 모두에 높은(High) 영향을 미친다. 이는 사실상 완전한 시스템 장악이 가능한 수준의 취약점이다.

조치사항:
1. 즉시: Apache Thrift 0.24.0 버전으로 업그레이드
2. 의존성 확인: ldd, rpm -qa, dpkg -l 등 시스템별 패키지 관리 도구로 설치 버전 확인
3. 컨테이너 환경: 베이스 이미지 업데이트 및 재배포
4. 우회 방안: 즉시 패치가 어려운 경우 Thrift 서비스 엔드포인트를 신뢰된 네트워크로 제한

CPPG·ISMS-P 연계 포인트

1. 소프트웨어 보안약점 관리(CWE-122: Heap-based Buffer Overflow)
힙 기반 버퍼 오버플로우는 SANS Top 25, OWASP Top 10에 포함되는 전통적 보안약점이다. ISMS-P 2.8.3(보안 취약점 점검 및 조치)에서 요구하는 사항으로, 개발 단계에서 경계 검사, 안전한 함수 사용(strncpy 대신 std::string), ASLR/DEP 등 메모리 보호 기법 적용이 필수다. 심사 시 소스코드 보안약점 진단 도구(SAST) 활용 여부와 발견된 약점의 조치 이력을 확인한다.

2. 공급망 보안 및 제3자 소프트웨어 관리(ISMS-P 2.5.4)
오픈소스 및 상용 컴포넌트의 보안 취약점 관리는 ISMS-P 인증의 핵심 통제 항목이다. SBOM(Software Bill of Materials) 유지, CVE 모니터링 체계, 긴급 패치 프로세스 수립이 요구된다. 이번 사례처럼 CVSS 9.0 이상 취약점 발견 시 24시간 내 영향도 분석, 72시간 내 패치 적용을 목표로 하는 정책 수립이 모범 사례로 평가된다.