🚨 CVE-2026-58138 — 인증되지 않은 원격 코드 실행

🔥 Conductor에서의 치명적인 인증되지 않은 원격 코드 실행

영향을 받는 버전: 3.21.21 → < 3.30.2

📌 개요

CVE-2026-58138은 Conductor / Orkes Conductor에 영향을 미치는 치명적인 인증되지 않은 원격 코드 실행(RCE) 취약점입니다.

이 취약점은 GraalVM을 통해 평가되는 사용자 제어 스크립트 표현식 처리에서 발생합니다. 안전하지 않은 평가기 구성은 호스트 기능을 공격자가 제어하는 표현식에 노출시킬 수 있습니다.

취약한 구성에서 인증되지 않은 원격 공격자는 악성 표현식이 포함된 조작된 워크플로 정의를 제출하고 잠재적으로 Conductor 프로세스의 보안 컨텍스트에서 명령을 실행할 수 있습니다.

⚠️ 심각도: CRITICAL — 즉시 패치 적용을 강력히 권장합니다.

🧾 취약점 정보

🎯 영향받는 버전

다음 버전 범위가 영향을 받는 것으로 보고되었습니다:

>= 3.21.21
<  3.30.2

버전 상태

🔍 기술 요약

이 취약점은 GraalVM 폴리글랏 컨텍스트를 통한 안전하지 않은 스크립트 평가와 관련이 있습니다.

영향을 받는 워크플로 작업 기능은 다음을 포함할 수 있습니다:

• INLINE
• LAMBDA
• DO_WHILE
• SWITCH

보안 문제는 공격자가 제어하는 표현식이 기본 호스트 환경에 과도한 접근 권한으로 평가될 때 발생합니다.

잠재적으로 위험한 평가기 구성에는 과도한 호스트 접근이 포함되어, 사용자가 제공한 스크립트가 Java 호스트 객체 및 시스템 수준 기능과 상호작용할 수 있습니다.

높은 수준의 공격 표면

┌─────────────────────┐
│ 원격 공격자          │
└──────────┬──────────┘
           │
           │ 조작된 워크플로 정의
           ▼
┌─────────────────────┐
│ Conductor API       │
│ 인증 공백            │
└──────────┬──────────┘
           │
           ▼
┌─────────────────────┐
│ 워크플로 엔진        │
│ 스크립트 평가        │
└──────────┬──────────┘
           │
           ▼
┌─────────────────────┐
│ GraalVM 평가기      │
│ 안전하지 않은 호스트 접근 │
└──────────┬──────────┘
           │
           ▼
      ⚠️ 보안 위험

💥 잠재적 영향

성공적인 악용 시 공격자가 다음을 수행할 수 있습니다:

• 🚨 Conductor 프로세스 컨텍스트에서 명령 실행
• 🔐 민감한 애플리케이션 데이터 접근
• 🗄️ 연결된 인프라 서비스 접근
• 🔑 노출된 자격 증명 또는 비밀 검색
• 🔄 워크플로 정의 수정
• 🌐 연결된 시스템으로 피벗
• 💣 워크플로 오케스트레이션 인프라 손상

실제 영향은 Conductor 프로세스에 부여된 권한에 크게 의존합니다.

보안 모범 사례: 불필요한 관리자 또는 루트 권한으로 워크플로 오케스트레이션 서비스를 실행하지 마십시오.

🛡️ 완화 조치

1️⃣ 즉시 업그레이드

Conductor를 다음 버전으로 업그레이드하십시오:

3.30.2 이상

2️⃣ API 접근 제한

Conductor 관리 API를 공개 인터넷에 직접 노출하지 마십시오.

권장 아키텍처:

인터넷
    │
    ▼
┌───────────────┐
│ WAF / 게이트웨이 │
└───────┬───────┘
        │
        ▼
┌────────────────┐
│ 인증            │
│ 권한 부여       │
└───────┬────────┘
        │
        ▼
┌────────────────┐
│ Conductor API  │
└────────────────┘

3️⃣ 최소 권한 적용

제한된 서비스 계정으로 Conductor를 실행하십시오.

피해야 할 사항:

❌ root
❌ Administrator
❌ 권한 있는 인프라 계정

선호 사항:

✅ 전용 서비스 계정
✅ 최소 파일 시스템 권한
✅ 제한된 네트워크 접근

4️⃣ 워크플로 정의 모니터링

잠재적으로 위험한 스크립트 표현식이 포함된 워크플로 정의를 검토하십시오.

보안 모니터링은 다음에 대한 예기치 않은 참조를 조사해야 합니다:

Runtime
ProcessBuilder
java.lang
reflection
subprocess
shell execution

탐지는 문자열 일치에만 의존하지 말고 의심스러운 동작에 초점을 맞춰야 합니다.

🔎 방어적 탐지

보안 팀은 다음을 모니터링해야 합니다:

• 예기치 않은 워크플로 등록
• 인증되지 않은 API 활동
• 의심스러운 INLINE 작업 정의
• 비정상적인 Java 프로세스 동작
• Conductor가 생성한 예기치 않은 자식 프로세스
• 셸 인터프리터 실행
• 예기치 않은 외부 네트워크 연결
• 권한 상승 시도

모니터링 흐름 예시

Conductor 로그
      │
      ▼
워크플로 등록 이벤트
      │
      ▼
표현식 검사
      │
      ▼
의심스러운 동작 탐지
      │
      ▼
🚨 SOC 알림

🧪 안전한 버전 확인

이 저장소에는 비파괴적 탐지 로직만 포함되어야 합니다.

안전한 검사기는 다음을 수행할 수 있습니다:

[✓] 설치된 버전 감지
[✓] 버전을 영향 범위와 비교
[✓] 노출된 서비스 메타데이터 식별
[✓] 패치 상태 보고
[✓] 수정 지침 생성

다음을 수행해서는 안 됩니다:

[✗] 명령 실행
[✗] 악성 워크플로 제출
[✗] RCE 시도
[✗] 서버 구성 수정
[✗] 지속성 생성

📊 위험 평가

전체 위험

🔥 CRITICAL

🛠️ 권장 보안 체크리스트

• 3.30.2 이상으로 업그레이드
• Conductor API 접근 제한
• 인증 요구
• 네트워크 분할 구현
• 워크플로 정의 검토
• 프로세스 실행 모니터링
• 최소 권한으로 서비스 실행
• 저장된 자격 증명 감사
• 과거 API 로그 검토
• 보안 알림 구현

📚 참고 자료

• GitHub Security Advisory
• NVD — CVE-2026-58138
• Conductor 저장소
• Conductor v3.30.2 릴리스

⚠️ 면책 조항

이 저장소는 교육, 방어 및 승인된 보안 연구 목적으로만
제공됩니다.

소유하지 않았거나 명시적 테스트 권한이 없는 시스템을
악용하려고 시도하지 마십시오.

관리자는 오용에 대해 책임을 지지 않습니다.

🏷️ 태그

CVE-2026-58138
Cybersecurity
Vulnerability Research
Remote Code Execution
RCE
Conductor
Orkes
GraalVM
CWE-94
Code Injection
Security Research
Blue Team
Defensive Security