CVE-2026-21858

n8n 워크플로 자동화 플랫폼 - 원격 코드 실행

n8n 워크플로 자동화 플랫폼의 심각한 원격 코드 실행 취약점인 CVE-2026-21858을 탐지하기 위한 보안 연구 도구입니다.

목차

• 취약점 요약
• 영향을 받는 버전
• 기술 분석
• 사전 요구사항
• 설치
• 사용 방법
• 출력 참조
• 탐지 방법론
• 완화 및 해결 방안
• 침해 지표
• 법적 고지
• 참고 자료
• 크레딧

취약점 요약

핵심 요약

n8n 버전 1.65.0부터 1.120.x까지에서 인증되지 않은 원격 공격자가 기본 서버에서 임의 코드를 실행할 수 있는 심각한 취약점이 존재합니다. 이 취약점은 특수하게 제작된 양식 기반 워크플로를 통해 악용되며, 인증되지 않은 파일 시스템 접근과 명령 실행을 가능하게 합니다.

영향 평가

• 기밀성: 시스템 데이터의 완전한 유출
• 무결성: 임의 파일 수정 및 코드 실행
• 가용성: 완전한 시스템 장악 또는 서비스 거부 가능성
• 범위: 변경됨 - 악용 시 취약한 구성 요소를 넘어 다른 리소스에도 영향을 미칠 수 있음

영향을 받는 버전

기술 분석

취약점 근본 원인

이 취약점은 양식 기반 워크플로 실행 엔진의 불충분한 입력 검증에서 비롯됩니다. n8n은 양식 트리거를 통해 사용자가 제공한 데이터를 처리할 때, 입력 파라미터를 내부 실행 컨텍스트로 전달하기 전에 적절히 검증하지 못합니다.

공격 벡터

1. 공격자가 공개적으로 접근 가능한 n8n 인스턴스를 식별합니다
2. 악용은 양식 기반 워크플로 엔드포인트를 대상으로 합니다
3. 악성 페이로드가 양식 입력 필드를 통해 주입됩니다
4. 페이로드는 n8n 서비스 계정의 권한으로 실행됩니다
5. 임의 파일 읽기/쓰기 및 명령 실행이 달성됩니다

악용 난이도

• 사전 요구사항: 대상 n8n 인스턴스에 대한 네트워크 접근
• 인증: 필요 없음
• 사용자 상호작용: 없음
• 공격 복잡도: 낮음

사전 요구사항

시스템 요구사항

• Python 3.12 이상
• 대상 n8n 인스턴스에 대한 네트워크 연결
• Python 스크립트를 실행할 수 있는 충분한 권한

종속성

설치

방법 1: uv 사용 (권장)

uv는 빠른 Python 패키지 설치 및 의존성 해석 도구입니다.

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

방법 2: pip 사용

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

방법 3: 수동 설치

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

사용 방법

명령줄 인터페이스

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

단일 대상 스캔

단일 n8n 인스턴스에서 취약점을 테스트합니다:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

다중 대상 스캔

파일에서 여러 대상을 스캔합니다:

python main.py -l targets.txt

대상 파일 형식 (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

참고 사항:

• 줄당 하나의 대상
• 프로토콜 접두사가 없는 URL은 기본적으로 https://로 처리됩니다
• 빈 줄은 무시됩니다
• 대상은 스레딩을 사용하여 동시에 스캔됩니다

출력 참조

상태 표시기

탐지 방법론

버전 핑거프린팅 프로세스

이 도구는 다음 단계를 통해 패시브(passive) 버전 탐지를 수행합니다:

1. 엔드포인트 요청: /signin 엔드포인트에 HTTP GET 요청
2. 인스턴스 검증: 대상이 n8n 설치인지 확인
3. 구성 추출: HTML에서 n8n:config:sentry 메타 태그 탐색
4. Base64 디코딩: 포함된 Sentry 구성을 디코딩
5. 버전 파싱: [email protected] 패턴과 일치하는 버전 문자열 추출
6. 취약점 평가: 추출된 버전을 알려진 취약 버전 범위와 비교

요청 상세

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

완화 및 해결 방안

즉시 조치

1. n8n 업그레이드: 즉시 1.121.0 이상 버전으로 업데이트

   root@kitploit:~

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. 네트워크 격리: n8n 인스턴스에 대한 접근 제한

   • 신뢰할 수 있는 IP 범위로 접근을 제한하는 방화벽 규칙 구현
   • n8n을 인증이 포함된 VPN 또는 리버스 프록시 뒤에 배치

3. 워크플로 감사: 기존의 모든 워크플로 검토

   • 양식 기반 워크플로를 식별하고 임시로 비활성화
   • 무단 접근에 대해 웹훅 엔드포인트 감사

장기 권장 사항

패치 후 검증

# Verify n8n version after update
n8n --version

# Or check via this tool
python main.py -u https://your-n8n-instance.com
# Expected: [SAFE] ... Version: 1.121.0+ (not vulnerable)

침해 지표

로그 분석

다음 패턴에 대해 n8n 및 웹 서버 로그를 검토하십시오:

• 양식 트리거 엔드포인트에 대한 비정상적인 POST 요청
• 양식 필드에 인코딩된 페이로드가 포함된 요청
• 양식 데이터를 통한 민감한 파일 경로 접근 시도
• n8n 서버에서 발생한 예기치 않은 외부 연결

파일 시스템 아티팩트

• n8n 작업 디렉토리에 있는 인증되지 않은 파일
• 수정된 워크플로 구성 파일
• 예기치 않은 스크립트 또는 실행 파일

네트워크 지표

• 알 수 없는 외부 호스트로의 연결
• 데이터 유출 패턴
• n8n 프로세스에서 시작된 리버스 셸 연결

법적 고지

중요: 사용 전에 읽으십시오

이 도구는 다음 용도로만 제공됩니다:

• 승인된 보안 평가
• 서면 허가를 받은 침투 테스트
• 교육 및 연구 목적
• 방어적 보안 운영

금지된 용도:

• 컴퓨터 시스템에 대한 무단 접근
• 명시적인 서면 동의 없이 시스템 악용
• 적용 가능한 법률 또는 규정을 위반하는 모든 활동

책임: 저자와 기여자는 이 소프트웨어의 오용에 대해 어떠한 책임도 지지 않습니다. 사용자는 모든 관련 법률을 준수하고 보안 테스트를 수행하기 전에 적절한 승인을 받을 책임이 전적으로 있습니다.

법적 통지: 컴퓨터 시스템에 대한 무단 접근은 대부분의 관할권에서 범죄 행위이며, 여기에는 미국의 컴퓨터 사기 및 남용 방지법(CFAA), 영국의 컴퓨터 오용법(Computer Misuse Act) 및 전 세계의 유사한 법률 위반이 포함되며 이에 국한되지 않습니다.

참고 자료

공식 리소스

• n8n 공식 웹사이트
• n8n GitHub 저장소
• n8n 보안 권고

취약점 데이터베이스

• NVD - CVE-2026-21858
• MITRE CVE 기록

관련 문서

• CWE-94: 코드 생성의 부적절한 제어
• OWASP 코드 주입

크레딧

• 원본 연구: rxerium의 Nuclei 템플릿 기반
• 프레임워크: HGrab Framework의 일부
• 유지 관리자: 보안 연구 커뮤니티

변경 로그

라이선스

이 프로젝트는 승인된 보안 연구 목적으로만 원래 상태 그대로 제공됩니다. 명시적이든 묵시적이든 어떠한 보증도 제공되지 않습니다. 관련 법률에 따라 본인의 책임 하에 사용하십시오.