j0xh-sec/cve-2026-49009CVE-2026-49009용 POC - Mender Server의 인증된 경로 탐색에서 RCE로 이어지는 문제.
▄█████ ██ ██ ██████ ████▄ ▄██▄ ████▄ ▄██▀▀▀ ██ ██ ▄█▀▀█▄ ▄██▄ ▄██▄ ▄█▀▀█▄
██ ██▄▄██ ██▄▄ ▄▄▄ ▄██▀ ██ ██ ▄██▀ ██▄▄▄ ▄▄▄ ▀█████ ▀▀▀██ ██ ██ ██ ██ ▀▀▀██
▀█████ ▀██▀ ██▄▄▄▄ ███▄▄ ▀██▀ ███▄▄ ▀█▄▄█▀ ██ ▄▄██▀ ▀██▀ ▀██▀ ▄▄██▀
░█▄█░█▀▀░█▀█░█▀▄░█▀▀░█▀▄░░░█▀▀░█▀▀░█▀▄░█░█░█▀▀░█▀▄░░░█▀▄░█▀▀░█▀▀░
░█░█░█▀▀░█░█░█░█░█▀▀░█▀▄░░░▀▀█░█▀▀░█▀▄░▀▄▀░█▀▀░█▀▄░░░█▀▄░█░░░█▀▀░
░▀░▀░▀▀▀░▀░▀░▀▀░░▀▀▀░▀░▀░░░▀▀▀░▀▀▀░▀░▀░░▀░░▀▀▀░▀░▀░░░▀░▀░▀▀▀░▀▀▀░
Mender Server의 단일 파일 아티팩트 생성 워크플로우에서 심각한 취약점을 발견하여 책임감 있게 보고했습니다. 이 문제는 사용자 제어 args.filename 필드의 입력 검증 및 경로 탐색 버그로 시작되었지만, 해당 버그가 임의 파일 쓰기에서 멈추지 않는다는 것을 증명했습니다. 아티팩트 생성 컨테이너 내부의 워커 소유 실행 파일을 대상으로 지정함으로써 문제를 신뢰할 수 있는 원격 코드 실행으로 확대했습니다.
실제로 인증된 공격자가 아티팩트 생성에 접근할 수 있는 경우 create-artifact-worker 내부의 /usr/bin/mender-artifact를 덮어쓸 수 있었습니다. 이후 워크플로우는 정상적인 아티팩트 생성 중에 동일한 바이너리를 호출했고, 이로 인해 공격자가 제어하는 페이로드가 실행되었습니다.
이로 인해 탐색/임의 덮어쓰기 버그가 아티팩트 워크플로우의 백엔드 코드 실행 문제로 변환되었습니다.
취약한 워크플로우는 단일 파일 아티팩트 생성 흐름에서 공격자가 제어하는 입력을 수용했으며, 업로드된 콘텐츠가 기록될 위치를 충분히 제한하지 않았습니다.
args.filename을 제어하고 경로 탐색을 악용하여 의도된 대상 외부에 쓸 수 있다는 것을 발견했습니다. 정상적인 아티팩트 입력 파일 대신, 쓰기 대상을 워커 컨테이너 내부의 /usr/bin/mender-artifact로 지정했습니다. 취약한 설정에서 런타임 사용자가 해당 바이너리를 소유하고 있었기 때문에 쓰기가 성공했습니다.
워크플로우는 이후 아티팩트 빌드 과정의 일부로 mender-artifact를 호출했습니다. 이미 해당 실행 파일을 자체 페이로드로 교체했기 때문에 워커가 공격자가 제어하는 코드를 실행했습니다.
공격자는 다음을 필요로 했습니다:
높은 수준에서 익스플로잇 체인은 다음과 같이 작동했습니다:
/usr/bin/mender-artifact를 대상으로 하는 악성 값을 제공했습니다.mender-artifact를 호출했습니다.이것이 중요한 이유는 취약한 쓰기 대상이 단순한 파일이 아니었기 때문입니다. 워크플로우가 즉시 신뢰하고 실행하는 바이너리였습니다.
성공한 공격자는 공유된 아티팩트 생성 워커 내에서 임의의 명령을 실행할 수 있습니다.
여기서 영향은 단일 요청을 넘어 확장되었습니다:
요약하면, 이는 단순한 파일 쓰기 버그가 아니었습니다. 소프트웨어 전달 경로에 위치한 민감한 백엔드 구성 요소에서의 코드 실행 버그였습니다.
HackerOne은 최종적으로 이 보고서를 Critical로 평가하고 $3,000 현상금을 지급했으며, 이는 검증 중에 입증된 실질적 영향과 일치했습니다.
근본 원인은 단일 파일 아티팩트 생성 경로의 신뢰 경계 실패였습니다.
워크플로우는 공격자가 제어하는 경로 입력을 백엔드 처리 체인에서 너무 먼 곳까지 신뢰했습니다. 사용자에 의해 영향을 받는 파일 이름이 의도된 위치를 벗어나 민감한 파일 시스템 대상에 도달할 수 있도록 허용했습니다. 이후 워커 환경은 런타임 사용자가 쓸 수 있고 나중에 워크플로우 자체에 의해 실행되는 실행 파일 경로를 노출함으로써 그 실수를 증폭시켰습니다.
이 조합은 명확한 익스플로잇 체인을 만들었습니다:
사용자 제어 경로 입력 → 임의 파일 덮어쓰기 → 신뢰된 실행 파일 덮어쓰기 → 백엔드 RCE
CVE-2026-49009는 겉보기에 제한된 입력 검증 문제가 어떻게 신뢰된 워크플로우가 실행 경로에 공격자가 제어하는 데이터를 기록할 때 전체 RCE 체인이 될 수 있는지 보여줍니다.
취약한 버전에서는 인증된 공격자가 단일 파일 아티팩트 생성 기능을 경로 탐색, 임의 덮어쓰기 및 원격 코드 실행 체인으로 전환할 수 있었습니다. 패치된 버전은 해당 경로를 차단하고 워크플로우를 의도된 동작으로 복원했습니다.