Node.js 취약점 10건 패치, 고위험 1건은 오픈AI 코덱스가 찾았다

서버용 자바스크립트 런타임 Node.js가 10월 21일 22.x·24.x·26.x 세 버전군에 보안 업데이트를 동시에 배포했습니다. 이번에 고친 취약점은 10건이며 그중 4건이 고위험입니다. 원격 코드 실행까지 이어질 수 있는 Brotli 압축 해제 결함은 오픈AI 코덱스 시큐리티(Codex Security) 소속 연구자 명의로 보고됐습니다.

무슨 일인가

Node.js는 웹 서비스 백엔드와 개발 도구에 널리 쓰이는 실행 환경입니다. 이번 릴리스에서 가장 높은 심각도는 ‘높음(HIGH)’입니다. Node.js는 공지에서 지원이 끝난(EOL) 버전은 보안 릴리스가 나올 때마다 항상 영향을 받는다고 못박았습니다. 구버전을 계속 쓰는 서비스라면 지원 버전으로 올려야 한다는 뜻입니다. c-ares, OpenSSL, SQLite, Undici 같은 의존 라이브러리와 기본 인증서 묶음도 함께 갱신됐고, 인증서 쪽에는 eMudhra 중간 인증기관 침해 건이 반영됐습니다.

세부 내용

고위험 4건 중 3건은 이름·주소 해석 문제입니다. CVE-2026-105482는 호스트 이름에 널(NUL) 바이트가 섞이면 DNS 조회 함수가 이름을 조용히 잘라, 공격자 도메인 뒤에 널 바이트와 신뢰 도메인을 붙인 이름을 조회해도 공격자 도메인의 기록이 오류 없이 돌아오는 결함입니다. CVE-2026-105483은 전각 숫자로 쓴 IP를 IP로 인식하지 못해, DNS 이름이 적힌 인증서가 IP 주소 접속을 인증해 주는 문제입니다. CVE-2026-106069는 ‘0127.0.0.1’ 같은 앞자리 0 표기를 URL 해석기는 8진수로, 운영체제는 10진수로 읽어 다른 IP용 인증서가 통과될 수 있는 결함입니다. 남은 CVE-2026-111497은 조작된 Brotli 데이터를 풀 때 메모리 범위 밖 쓰기가 일어나 충돌, 메모리 노출, 원격 코드 실행으로 이어질 수 있습니다.

중간·낮음 등급에는 요청을 보내기 전에 도착한 응답을 받아들이는 keep-alive 소켓 문제, 스냅샷과 단일 실행 파일(SEA)에 난수 캐시가 저장돼 crypto.randomUUID() 등이 같은 값을 반복하는 문제, 권한 모델의 와일드카드 규칙이 의도보다 넓게 허용하는 문제가 들어 있습니다.

왜 중요한가

보고자 명단에는 AI 보안 도구 이름이 직접 올라 있습니다. Brotli 결함은 ‘OpenAI Codex Security - Khai Tran and Sylvie Mayer’ 명의로 보고됐습니다. 공지는 다른 보고에 AI가 쓰였는지는 밝히지 않았습니다. 같은 날 위즈가 AI로 찾은 PHP 엔진 취약점을 공개하면서, 웹의 핵심 런타임 두 개가 하루 사이에 대형 보안 업데이트를 냈습니다. 10건 중 4건은 앞선 수정에 남아 있던 빈틈이었으므로, 패치를 빨리 내는 것 못지않게 다시 검증하는 일도 중요합니다.