보안 연구자들이 Citrix NetScaler ADC와 Gateway 장비의 심각한 취약점(CVE-2026-88772)에 대한 기술적 세부 내용을 공개했습니다. 이 취약점은 이미 실제 공격에 악용되고 있는 것으로 확인됐습니다. 문제의 원인은 DTLS(암호화된 데이터 전송을 위한 프로토콜) 처리 과정에서 발생하는 메모리 오버플로우(정해진 메모리 공간보다 많은 데이터가 들어와 넘치는 현상)로, 공격자는 조작된 패킷을 보내 서버가 실제 크기보다 작다고 착각하게 만든 뒤 버퍼(임시 저장 공간)를 넘치게 할 수 있습니다. 이를 이용하면 공격자가 관리자 권한(root)으로 임의의 악성 코드를 실행할 수 있어 위험도가 매우 높습니다(CVSS 9.5점). 이 취약점은 함께 발견된 또 다른 취약점 CVE-2026-88771과 함께 실제 공격에 사용된 것으로 나타났습니다.
Citrix NetScaler ADC와 Gateway의 DTLS 처리 취약점(CVE-2026-88772)에 대한 공격 기술 세부사항이 공개됐으며, 실제 악용 사례가 확인됐다.
공격자가 인증 없이 원격에서 임의 코드를 root 권한으로 실행할 수 있어 서비스 완전 장악이나 서비스 거부(DoS)로 이어질 수 있다.
DTLS 핸드셰이크 메시지 처리 시 fragment_length 필드와 실제 길이 필드 값이 일치하지 않아도 검증하지 않는 파싱 로직 오류로, 조작된 패킷이 정해진 버퍼 크기를 초과해 기록되면서 메모리 오버플로우가 발생한다.
CISA는 이 취약점을 KEV(실제 악용 확인 목록)에 등재했으며, 해당 제품을 사용하는 조직은 Citrix가 배포한 패치를 즉시 적용해야 한다.
함께 공개된 CVE-2026-88771 역시 실제 공격에 함께 사용된 만큼, 두 취약점 모두에 대한 패치와 침해 지표 점검이 필요하다.
본문
Ravie Lakshmanan 2026년 9월 30일 취약점 / 네트워크 보안
보안 연구자들이 최근 패치된 Citrix NetScaler ADC 및 Gateway의 심각한 보안 결함에 대한 기술적 세부 내용을 공개했으며, 이 취약점은 실제로 활발히 악용되고 있는 것으로 나타났다.
CVE-2026-88772(CVSS 점수: 9.5)로 추적되는 이 취약점은 NetScaler Packet Processing Engine(NSPPE)에 뿌리를 둔 DTLS(Datagram Transport Layer Security) 프로토콜 처리 과정의 메모리 오버플로우 버그로 설명된다.
미국 사이버보안 및 인프라보안청(CISA)은 "Citrix NetScaler ADC 및 NetScaler Gateway에는 메모리 버퍼 범위 내 작업을 제대로 제한하지 못하는 취약점이 있으며, 이로 인해 원격 코드 실행이나 서비스 거부(denial-of-service)가 발생할 수 있다"고 밝혔다.
watchTowr에 따르면, 문제는 NetScaler가 DTLS 핸드셰이크 헤더의 fragment_length 필드(즉, 1바이트)에 선언된 조각 크기를 암묵적으로 신뢰하는 반면, 헤더는 동시에 length 필드로 표시된 전체 메시지가 120바이트라고 주장한다는 점이다.
이러한 파싱 불일치는 공격자가 레코드를 작게 보이도록 조작하면서도 실제로 버퍼에 복사되는 데이터는 훨씬 크게 만드는 악성 레코드를 제작하는 데 악용될 수 있으며, 이는 오버플로우로 이어진다.
보안 연구자 Sina Kheirkhah는 "예를 들어 120바이트짜리 핸드셰이크 메시지가 120개의 조각으로 도착할 수 있다. 모든 조각의 length는 120이지만, 각 조각의 fragment_length는 1일 수 있다"고 설명했다. "이들의 오프셋은 0, 1, 2부터 시작해 119까지 이어진다. 모든 위치가 도착하면 서버는 120바이트 메시지가 완성됐다고 판단한다. 이 조각들을 결합하는 과정을 재조립(reassembly)이라고 부른다."
수신된 1,459바이트 크기의 각 패킷은 NetScaler Buffers(NSB)에 저장된 뒤, 35,840바이트 크기에 불과한 단일 스크래치 버퍼(scratch buffer)로 이어붙여진다. 취약한 버전은 다음 패킷이 스크래치 버퍼에 들어갈 수 있는지 확인하지 않기 때문에, 데이터가 버퍼 끝을 넘어 기록되면서 버퍼 오버플로우로 이어진다.
Kheirkhah는 "악성 레코드는 재조립 코드에게 각 레코드가 120바이트짜리 핸드셰이크 메시지 중 단 1바이트만 제공한다고 알린다"고 말했다. "하지만 NSPPE는 레코드 전체를 거의 그대로 NSB에 보관한다. 120개의 레코드가 지나면 핸드셰이크 메시지가 완성됐다고 판단되지만, 그 NSB 체인에는 약 174KB의 데이터가 담겨 있다."
watchTowr의 분석에 따르면 이 오버플로우는 mprotect() 시스템 호출을 이용해 NX(실행 방지) 보호를 무력화함으로써, 제어 흐름을 root 권한의 임의 셸코드로 전환하는 데 악용될 수 있는 것으로 추가로 확인됐다.
이번 공개는 사전 노출 관리(preemptive exposure management) 기업이 CVE-2026-88771에 대한 개념 증명(PoC)을 공개한 다음 날 이루어졌으며, 해당 취약점은 CVE-2026-88772와 함께 실제 공격에서 악용된 것으로 확인됐다.
같은 소식, 다른 매체 보도4건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
