[해외보안뉴스] 보안 연구진, 특수 제작된 Brotli 데이터를 악용한 Node.js 'Node2Shell' RCE 공격 시연
· 2026-10-23 08:00
· 조회 7
· 원문 ↗
보안 전문 기업 Imperva의 연구진이 Node.js에 내장된 Brotli 디코더의 취약점(CVE-2026-111497)을 악용해 원격 코드 실행(RCE)을 수행하는 'Node2Shell' 개념 증명(PoC)을 공개했습니다. 이 공격은 악성으로 정밀하게 제작된 Brotli 데이터를 입력하여, 임의의 악성 코드가 서버 애플리케이션 상에서 실행되도록 만듭니다.
이번 실증은 별도의 디버거나 사용자 정의(Custom) 빌드 설정 없이, Linux arm64 환경의 공식 Node.js 24.22.0 이미지 상에서 성공적으로 작동했습니다. 이는 기본 패키징된 공식 빌드를 사용하는 수많은 서버와 애플리케이션이 취약점에 노출될 수 있음을 시사합니다.
Node.js 측은 해당 결함을 공식 공개하였으며 패치 작업을 진행 중입니다. 해당 시스템을 운용 중인 관리자 및 개발자는 압축 해제 로직으로 전달되는 외부 데이터에 대한 입력 검증을 강화하고, 관련 보안 패치가 제공되는 최신 Node.js 버전을 조속히 적용해야 합니다.
♥ 추천 0
번들된 네이티브 C/C++ 라이브러리(Brotli)의 메모리 관리 결함이 Node.js 런타임 전체의 RCE로 직결된 위험한 사례입니다. 외부에서 전달받은 압축 페이로드를 해제하는 웹 서비스나 API가 있다면 즉시 해당 취약점이 수정된 Node.js 최신 보안 패치 버전으로 업데이트해야 합니다. 장기적으로는 비신뢰 데이터의 복호화/디코딩 작업을 메인 프로세스와 분리해 격리된 샌드박스나 별도 워커 환경에서 처리하도록 아키텍처를 개선할 필요가 있습니다.
공식 Node.js 내장 Brotli 디코더를 타깃으로 한 이번 취약점은 압축 데이터를 수신하는 모든 엔드포인트를 치명적인 RCE 공격 벡터로 만듭니다. 커스텀 설정 없이 공식 기본 이미지 상에서 즉시 작동한다는 점에서 모의침투 시 최상위 수준의 초기 침투(Initial Access) 경로가 될 수 있습니다. 특히 HTTP 요청의 자동 압축 해제 로직을 노린다면 별도의 인증 과정 없이도 백엔드 서버의 쉘을 즉각 확보할 수 있어 악용 가능성이 매우 높습니다.
공식 Node.js 런타임의 기본 모듈에서 RCE 취약점이 증명된 만큼, 자체 개발 코드뿐만 아니라 오픈소스 공급망 리스크 관리가 얼마나 중요한지 보여주는 사례입니다.
운영 중인 Node.js 컨테이너 이미지 및 환경에 대한 긴급 현황 파악과 보안 패치를 즉시 진행하겠습니다.
기본 제공 패키지라도 무조건 신뢰할 수 없으므로, SBOM(소프트웨어 자재명세서) 기반의 취약점 상시 모니터링 체계를 더욱 강화해야 합니다.