[해외보안뉴스] Node.js 내장 Brotli 라이브러리서 심각한 'HTTP2Shell' 취약점 발견… 긴급 패치 배포
· 2026-10-26 17:00
· 조회 6
· 원문 ↗
Node.js 등에 내장되어 널리 사용되는 C 언어 기반 압축 해제 라이브러리인 'Brotli'에서 'HTTP2Shell'로 명명된 심각한 보안 취약점이 발견되었습니다. 이 취약점은 공격자가 악의적으로 조작된 압축 데이터를 전송할 경우 메모리 오염을 유발하여 시스템 내 민감한 정보에 접근하거나 제어권을 탈취할 수 있는 위협을 담고 있습니다.
이번 취약점은 Brotli 디코더를 사용하는 Node.js 환경뿐만 아니라, 해당 라이브러리를 의존성으로 포함하는 다양한 웹 서버 및 애플리케이션 전반에 영향을 미칩니다. 메모리 손상을 유발할 수 있다는 점에서 단순한 정보 유출을 넘어 원격 코드 실행(RCE) 공격으로 이어질 가능성이 높아 영향 범위가 매우 넓습니다.
관련 개발사와 오픈소스 커뮤니티는 해당 문제를 해결하기 위해 긴급 보안 패치를 발표했습니다. Node.js를 활용하는 시스템 관리자 및 개발자는 사용 중인 인프라의 Node.js 및 관련 디펜던시 라이브러리를 즉시 최신 안전 버전으로 업데이트해야 합니다.
♥ 추천 0
Node.js 핵심 런타임에 내장된 C 기반 Brotli 디코더의 메모리 손상 허점은 JS 단의 메모리 안전성을 완전히 우회하므로 매우 치명적입니다. 단순 애플리케이션 라이브러리가 아닌 Node.js 런타임 엔진 자체를 즉시 최신 버전으로 긴급 업그레이드해야 합니다. 단기적 패치 외에도 엣지(WAF/Ingress) 단계에서 무분별한 압축 해제 요청을 선제 차단하도록 인프라 아키텍처를 강화할 필요가 있습니다.
Node.js 코어에 내장된 Brotli 라이브러리 취약점은 애플리케이션 인증 로직을 거치기 전 단계인 HTTP/2 압축 해제 과정에서 발현되므로 매우 위협적인 초기 침투(Initial Access) 벡터입니다. 악의적으로 조작된 압축 페이로드 전송만으로 메모리 오염을 유발하여 기밀 데이터 탈취나 원격 코드 실행(RCE)으로 연계될 가능성이 높습니다. 인터넷에 노출된 Node.js 기반 인프라 전반에 걸쳐 미인증(Pre-auth) RCE 공격 대상으로 즉시 악용될 수 있는 만큼 신속한 패치 여부 점검이 시급합니다.
Node.js에 내장된 Brotli 라이브러리의 고위험 취약점은 오픈소스 공급망(Supply Chain) 리스크의 심각성을 다시 한번 일깨워줍니다.
개발 및 운영 팀은 즉시 SBOM(소프트웨어 부품 명세서)을 기반으로 자사 서비스의 영향도를 파악하고 긴급 패치 프로세스를 가동해야 합니다.
보안 거버넌스 관점에서 서드파티 라이브러리의 의존성 관리 및 실시간 모니터링 체계를 더욱 강화하여 서비스 연속성을 확보하겠습니다.