CVE-2026-9082 / Drupal SA-CORE-2026-004 개념 증명

면책 조항: 이 개념 증명은 교육 및 연구 목적으로만 제공됩니다. 소유권이 없거나 명시적인 테스트 허가를 받지 않은 시스템에 대해 이 소프트웨어를 사용하지 마십시오. 저자는 이 프로젝트로 인한 오용 또는 손해에 대해 책임을 지지 않습니다.

개요

A Proof-of-Concept (poc.py) of CVE-2026-9082 (Drupal SA-CORE-2026-004)는 Drupal 코어의 치명적인 SQL 인젝션 취약점으로, Drupal이 PostgreSQL 데이터베이스 백엔드를 사용하도록 구성된 경우 공격자가 임의의 SQL 쿼리를 제출할 수 있게 할 수 있습니다.

이는 Drupal 코어의 PostgreSQL 엔티티 쿼리 조건 변환기에서 비롯되며, 엔티티 쿼리 IN 필터의 배열 키가 공격자에 의해 조작되어 임의의 SQL 조각을 주입할 수 있습니다.

이 PoC는 Drupal의 JSON:API 레이어와 상호 작용하여 형식이 잘못된 SQL 조건을 주입하며, 취약한 버전에서는 HTTP 500 내부 서버 오류가 발생하고, 패치된 버전에서는 쿼리 키를 올바르게 처리하여 예외를 방지합니다.

취약점 정보

• CVE ID: CVE-2026-9082

• SA-CORE ID: SA-CORE-2026-004

• CVSS Score: 6.5 (MEDIUM)

• CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

• Category: SQL injection

• Impact: Authentication bypass, information disclosure, privilege escalation, remote code execution (depending on configuration)

• Affected Versions (Drupal core):

  • >= 8.9.0, < 10.4.10
  • >= 10.5.0, < 10.5.10
  • >= 10.6.0, < 10.6.9
  • >= 11.0.0, < 11.1.10
  • >= 11.2.0, < 11.2.12
  • >= 11.3.0, < 11.3.10

재현 실습

간단히

make

다음을 사용하는 docker-compose 재현 실습을 제공합니다:

• 취약한 버전: Drupal 10.4.9 + PostgreSQL 16
• 패치된 버전: Drupal 11.2.12 + PostgreSQL 16

두 설정 모두 다음을 포함합니다:

• JSON:API가 활성화되어 있고 인증 없이 /jsonapi/node/article에서 공개적으로 접근 가능 (많은 Drupal 사이트의 일반적인 구성)
• /jsonapi/node/article 필터링이 실제로 작동함을 확인하기 위한 단일 article 노드
• 사이트 파일과 DB 내용은 sites.tar.gz 및 init.sql.gz에 미리 준비되어 있습니다.

작성 시점 기준으로 Drupal 11.2.12는 아직 Docker Hub에서 사용할 수 없으므로 composer로 설치된 사용자 정의 이미지를 빌드합니다.