오늘의 종합 위협 브리핑

오늘은 Jupyter 기반 Mercury 패키지에서 인증 없이 원격 코드 실행이 가능한 치명적 취약점이 두 건 발견되며 최고 수준의 위협이 부각되었다. 동시에 비동기 HTTP 라이브러리 aiohttp에서는 서비스 거부(DoS) 유발 가능성이 있는 다수의 리소스 소진 이슈가 보고되어 가용성 측면의 우려가 커졌으며, LoopX의 CORS 설정 미흡으로 인한 정보 노출 위험도 함께 식별되었다. 전반적으로 외부 노출된 Python 생태계 패키지를 대상으로 한 공급망·웹 서비스 취약점이 다수 포착된 하루였다.

핵심 위협 Top 3

대응 권고

※ 위 종합 브리핑은 금일 수집된 사실 필드(제목·CVE·심각도·영향제품·출처)를 바탕으로 AI가 생성한 자체 작성물입니다.

긴급 GHSA

CVE-2026-111058 · Mercury: /api/kernels 엔드포인트를 통한 인증 없는 원격 코드 실행

CVE-2026-111058 · Mercury: Unauthenticated Remote Code Execution via /api/kernels

CVE ID CVE-2026-111058
심각도 긴급
영향제품 pip/mercury
CVSS 9.8
출처 GHSA
수집일 2026-10-20

한 줄 요약
Mercury 패키지의 /api/kernels API가 인증 절차 없이 노출되어 공격자가 임의 코드를 실행할 수 있는 치명적 취약점.

위협 분석
CVSS 9.8(CRITICAL)의 매우 심각한 취약점으로, 인증 절차를 거치지 않고 커널 실행 API에 접근하여 서버 상에서 임의의 코드를 실행할 수 있다. Jupyter 계열 커널 관리 기능을 외부에 노출하는 구조적 특성상 공격자가 네트워크 접근만 확보하면 별도의 자격 증명 없이 완전한 시스템 장악(RCE)이 가능하다. 공개된 PoC나 스캐너가 등장하면 광범위한 자동화 공격으로 확산될 가능성이 높으며, 데이터 유출, 랜섬웨어 설치, 내부망 피벗 등 후속 공격의 발판으로 악용될 수 있다.

권고 조치
해당 패키지를 즉시 최신 버전으로 업그레이드하고, 패치 적용 전까지는 /api/kernels 엔드포인트를 외부 네트워크에서 차단하거나 방화벽/리버스 프록시에서 인증을 강제 적용할 것. 서비스가 인터넷에 노출되어 있는지 점검하고, 불필요한 경우 해당 서비스를 비활성화하거나 내부망으로 한정할 것. 패치 후에도 관련 API 접근 로그를 모니터링하여 이상 행위를 탐지할 것.

원문 바로가기 →

긴급 GHSA

CVE-2026-111057 · Mercury: /api/terminals 접근 제어 우회를 통한 인증 없는 원격 코드 실행

CVE-2026-111057 · Mercury: Unauthenticated Remote Code Execution in /api/terminals - access control bypass

CVE ID CVE-2026-111057
심각도 긴급
영향제품 pip/mercury
CVSS 10.0
출처 GHSA
수집일 2026-10-20

한 줄 요약
Mercury 패키지의 /api/terminals API에서 접근 제어가 우회되어 인증 없이 원격 코드 실행이 가능한 최고 위험도 취약점.

위협 분석
CVSS 10.0(CRITICAL)으로 평가되는 최고 수준의 심각한 취약점이다. 터미널 접근 API에 대한 접근 제어 로직이 우회 가능하여 인증되지 않은 외부 공격자가 서버의 쉘(터미널)에 직접 접근, 임의 명령을 실행할 수 있다. 커널 API 취약점(CVE-2026-111058)과 결합 시 동일 서비스를 운영하는 환경에서 공격 표면이 더욱 확대되며, 단일 요청만으로 시스템을 완전히 장악할 수 있어 실제 익스플로잇 난이도가 매우 낮다. 웹에 노출된 모든 Mercury 인스턴스가 즉각적인 공격 대상이 될 수 있다.

권고 조치
가용한 최신 버전으로 즉시 패치하고, 패치 전까지 /api/terminals 엔드포인트에 대한 외부 접근을 완전히 차단할 것. 인터넷에 노출된 Mercury 인스턴스를 전수 조사하여 비인가 접근 흔적(비정상 프로세스 생성, 신규 계정, 아웃바운드 연결 등)을 점검하고, 침해가 의심되면 격리 후 포렌식 조사를 진행할 것. 네트워크 분할 및 WAF/IPS 룰 적용으로 추가 방어선을 마련할 것.

원문 바로가기 →

높음 GHSA

CVE-2026-111064 · aiohttp 서버의 초기 요청/헤더 타임아웃 미적용 취약점

CVE-2026-111064 · aiohttp server lacks an initial request/header timeout

CVE ID CVE-2026-111064
심각도 높음
영향제품 pip/aiohttp
출처 GHSA
수집일 2026-10-20

한 줄 요약
aiohttp 서버가 클라이언트 요청 헤더 수신에 타임아웃을 적용하지 않아 서비스 거부(DoS) 공격에 노출됨.

위협 분석
심각도 HIGH로 분류되며, 공격자가 TCP 연결을 열어둔 채 헤더 전송을 지연시키거나 중단함으로써(Slowloris 유형) 서버의 연결 자원을 고갈시켜 정상 서비스를 방해할 수 있다. 원격 코드 실행이나 데이터 유출 같은 직접적 피해는 없으나, 다수의 연결을 동시에 열어 자원을 점유하는 공격은 구현이 단순하고 자동화 도구로 손쉽게 수행 가능해 가용성 측면의 실질적 위협이 된다. 공개 서비스로 aiohttp를 활용하는 애플리케이션은 공격 표면이 넓다.

권고 조치
aiohttp를 타임아웃 설정이 보완된 최신 버전으로 업그레이드할 것. 패치 적용이 어려운 경우 리버스 프록시(nginx 등) 또는 로드밸런서 단에서 헤더 수신 타임아웃과 연결 속도 제한을 설정하여 1차 방어선을 구성할 것. 비정상적으로 느린 연결 패턴에 대한 모니터링 및 레이트 리미팅 정책을 적용할 것.

원문 바로가기 →

높음 GHSA

GHSA-2g87-pp6c-29x5 · aiohttp 내 다수의 과도한/무제한 메모리·CPU 사용 취약점

GHSA-2g87-pp6c-29x5 · aiohttp: Multiple instances of excessive or unbounded memory/CPU use

심각도 높음
영향제품 pip/aiohttp
출처 GHSA
수집일 2026-10-20

한 줄 요약
aiohttp에서 여러 처리 경로의 메모리/CPU 사용량 제한이 부재하여 리소스 고갈형 서비스 거부 공격이 가능함.

위협 분석
심각도 HIGH로 평가되며, 공격자가 특정 입력(대용량 요청, 압축 해제, 파싱 등)을 통해 서버의 메모리 또는 CPU 리소스를 과도하게 소비시켜 서비스 중단을 유발할 수 있다. 단일 취약점이 아닌 '여러 인스턴스'가 포함되어 있어 공격 벡터가 다양하며, 패치 범위를 정확히 파악하지 않으면 일부 경로만 보완되고 다른 경로는 여전히 노출될 위험이 있다. 공격 성공 시 서비스 가용성 저하 및 인프라 비용 증가(클라우드 자동 스케일링 남용 등) 부수 피해도 우려된다.

권고 조치
관련 보안 권고에서 명시한 모든 수정 사항이 반영된 최신 버전으로 업그레이드할 것. 요청 본문 크기, 동시 연결 수, 압축 해제 비율 등에 대한 명시적 제한을 애플리케이션 레벨에서 재확인하고 적용할 것. 리소스 사용량에 대한 실시간 모니터링과 알림 체계를 구축하여 비정상적 급증을 조기 탐지할 것.

원문 바로가기 →

높음 GHSA

LoopX serve-status, 과도하게 허용적인 CORS 정책으로 제어 플레인 상태 및 비공개 Markdown 정보 노출

CVE-2026-108372 · LoopX serve-status permissive CORS policy exposes control-plane state and private Markdown…

CVE ID CVE-2026-108372
심각도 높음
영향제품 pip/loopx
출처 GHSA
수집일 2026-10-20

한 줄 요약
LoopX의 serve-status 엔드포인트가 지나치게 느슨한 CORS 설정을 사용해 임의의 외부 웹사이트에서 제어 플레인 상태 정보와 비공개 Markdown 데이터를 읽어갈 수 있는 취약점

위협 분석
이 취약점은 CORS(Cross-Origin Resource Sharing) 정책 설정 오류로 인해 발생하며, 공격자가 제작한 악성 웹페이지에 피해자가 접속하는 것만으로 인증된 세션의 브라우저를 통해 serve-status 엔드포인트에 교차 출처 요청을 보내고 응답 데이터를 탈취할 수 있다. 노출되는 정보에는 제어 플레인의 내부 상태값과 비공개로 설정된 Markdown 문서(설정값, 운영 메타데이터, 민감한 내부 문서 등 포함 가능)가 포함될 수 있어 정보 유출(Information Disclosure) 위험이 높다. HIGH 등급으로 분류된 점에서 공격 성공 시 내부 아키텍처 정보나 민감 데이터가 외부로 유출되어 후속 공격(정찰, 권한 상승, 표적 공격)의 발판이 될 가능성이 있다. 공격 조건은 비교적 단순하며(피해자의 브라우저가 악성 사이트를 방문하기만 하면 됨) 별도의 인증 우회나 복잡한 익스플로잇 체인이 필요하지 않아 공격 가능성이 높은 편이다. 다만 공격자는 피해자가 이미 LoopX에 인증된 상태이거나 공개 접근 가능한 엔드포인트여야 효과가 극대화되므로, 실제 영향 범위는 배포 환경의 인증 구성에 따라 달라질 수 있다.

권고 조치
1) pip 패키지 loopx를 패치된 최신 버전으로 즉시 업그레이드할 것. 2) 패치 적용 전까지 serve-status 엔드포인트에 대한 외부 네트워크 접근을 방화벽/네트워크 ACL로 제한하거나 내부망으로만 노출되도록 구성 변경. 3) CORS 헤더(Access-Control-Allow-Origin 등)가 와일드카드(*)나 과도하게 넓은 허용 목록으로 설정되어 있는지 점검하고, 신뢰할 수 있는 출처만 명시적으로 허용하도록 재구성. 4) 서버 로그를 통해 비정상적인 교차 출처 요청이나 외부 도메인으로부터의 접근 이력이 있는지 확인. 5) 비공개 Markdown 문서 등 민감 정보가 실제로 노출되었는지 여부를 점검하고, 노출이 확인될 경우 관련 자격증명·내부 정보의 변경 및 영향 평가를 수행할 것.

원문 바로가기 →