이 취약점은 HFS 3.0.0~3.2.0 이 세션 쿠키 서명 키를 Math.random() 으로 만들고, 같은 생성기의 출력을 로그인하지 않은 사용자에게 흘리는 문제예요. 호라이즌3 연구원 잭 핸리는 9월 30일 글에서 미토스가 두 결함을 이어 붙였고, 새어 나온 값 12개로 Z3 솔버가 V8 의 xorshift128+ 내부 상태를 되살려 관리자 쿠키를 위조하는 개념 증명까지 만들었다고 밝혔어요. 패치(3.2.1)는 7월 13일에 나왔지만, 더 레지스터에 따르면 VulnCheck 의 미끼 서버가 10월 1일 저녁 중국 IP 의 공격을 잡았고, Project Glasswing 이 찾은 CVE 286건 중 실제 공격이 확인된 것은 이번이 두 번째예요.
용어 풀이
- CVE
- 공개된 보안 취약점에 붙이는 국제 식별 번호
- Z3
- 마이크로소프트가 만든 공개 수식 풀이 도구(SMT 솔버)
- V8
- 크롬과 Node.js 가 쓰는 자바스크립트 실행 엔진
- xorshift128+
- V8 의 Math.random() 이 쓰는 빠르지만 예측 가능한 난수 생성 방식
운영자 인사이트
HFS 3.x 를 쓰고 있으면 3.2.1 이상인지 바로 확인하세요. 더 넓게 보면 Math.random() 처럼 수학 지식이 있어야 뚫리던 약한 난수가 이제는 싸게 뚫리는 대상이 됐으니, 토큰·키·세션 값을 만드는 코드가 crypto.randomBytes 같은 암호용 생성기를 쓰는지 점검해 두는 편이 좋아요.
여러 관점으로 보기
- 발견자 원문 미토스가 약한 난수 사용과 출력 유출 경로를 찾아 잇고, Z3 로 상태를 복원하는 개념 증명까지 추가 지시 없이 만들었다고 설명해요. Horizon3.ai
- 패치 릴리스 7월 13일 나온 3.2.1 릴리스 노트가 관리자 권한 탈취가 가능한 보안 취약점 수정과 호라이즌3·앤트로픽의 기여를 적고 있어요. GitHub