CVE-2026-66050은 NitroShare 파일 수신 과정에서 JSON 헤더의 파일명 검증이 누락되어 발생하는 경로 조작(Path Traversal) 취약점이다. 공격자는 이를 이용해 사용자 시스템 내 임의 경로에 악성 파일을 생성한다. 특히 시작 프로그램 폴더에 페이로드를 배치하면 사용자 로그인 시 원격 코드 실행(RCE)으로 이어진다.
CVE-2026-66050은 로컬 네트워크(LAN) 환경 파일 공유 소프트웨어인 NitroShare의 치명적인 보안 결함이다. 핵심 원인은 서버가 파일 수신 시 JSON 헤더 내 ‘name’ 필드 값을 신뢰하고, 적절한 필터링 없이 파일 시스템 경로로 사용하는 데 있다. 공격자는 경로 탐색 시퀀스인 ‘../’를 삽입해 다운로드 루트 디렉터리를 벗어나 시스템 민감 영역에 파일을 기록할 수 있다.
해당 취약점은 CWE-22(Improper Limitation of a Pathname to a Restricted Directory)로 분류된다. 별도의 인증 없이 네트워크로 접근 가능하므로 위험도가 높다. CVSS v3 기준 7.5점, 최신 기준인 CVSS v4에서는 8.7점을 기록했다. 낮은 공격 복잡도와 사용자 상호작용 불필요, 네트워크 원격 공격 가능성이 반영된 수치다.
| 항목 | 상세 내용 |
|---|---|
| CVE 식별자 | CVE-2026-66050 |
| 영향 버전 | NitroShare Desktop 0.3.4 및 그 이하 버전 |
| CVSS v3 / v4 점수 | 7.5 / 8.7 (HIGH) |
| 공격 벡터 | Network (인증 없음, 낮은 복잡도, 상호작용 없음) |
| EPSS 지표 | 0.00737 |
| CWE 분류 | CWE-22 (Path Traversal) |
기술적 분석 및 공격 메커니즘: 왜 RCE가 가능한가
NitroShare는 기본적으로 모든 네트워크 인터페이스의 TCP 포트 40818을 사용해 전송 서버를 운영한다. 많은 사용자가 TLS 암호화를 비활성화하고 별도의 인증 없이 파일을 수신한다. 공격자는 이 개방된 포트로 연결해 조작된 JSON 전송 헤더를 보내 공격을 시작한다.
공격의 핵심은 JSON 아이템 헤더 ‘name’ 필드에 경로 조작 문자열을 넣는 것이다. 예를 들어 파일명을 ../../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/payload.exe로 설정해 전송하면, NitroShare 서버는 이를 상위 디렉터리로 이동하는 명령으로 처리한다. 파일은 다운로드 폴더가 아닌 윈도우 시작 프로그램 폴더에 직접 기록된다.
배치된 악성 페이로드는 사용자가 시스템에 재로그인할 때 자동으로 실행된다. 단순한 파일 쓰기 권한 획득을 넘어, 공격자가 대상 시스템에서 임의 명령을 실행하는 원격 코드 실행(RCE) 상태로 바뀐다는 뜻이다. 현재 Christopher Duram이 작성한 Python 기반 PoC(개념 증명) 코드가 공개되어 있다. 기술적 지식만 있다면 동일 LAN 내에서 누구나 재현 가능한 상황이다.
취약점 발견 타임라인과 대응 현황
연구자 Christopher Duram이 발견한 이 취약점은 개발자에게 수정 요청을 보냈으나 즉각적인 응답을 얻지 못했다. 연구자는 2026년 4월 13일에 1차, 4월 19일과 5월 3일에 각각 2차, 3차 이메일을 보냈지만 답장을 받지 못했다. 소통 부재로 취약점이 방치되다가 절차에 따라 식별자가 부여되었다.
2026년 7월 22일 NotCVE-2026-0009가 할당되었고, 최종적으로 7월 28일 CVE-2026-66050으로 등록되었다. 7월 27일 발표 후 하루 만인 7월 28일 업데이트가 이루어졌으나, 같은 날 기준 공식 패치나 보안 업데이트 버전은 확인되지 않는다. 사용자는 소프트웨어 제공자의 업데이트 전까지 수동으로 보안 조치를 해야 한다.
시스템 관리자를 위한 단계별 완화 및 대응 체크리스트
공식 패치 배포 전까지 시스템 관리자는 완화 조치를 적용해 잠재적 공격을 막아야 한다. 동일 네트워크 내 신뢰할 수 없는 단말이나 공공 와이파이 환경에서 사용 시 위험도가 높아진다.
- 네트워크 레벨의 접근 제어 수행: 방화벽 설정을 통해 NitroShare가 사용하는 TCP 포트 40818의 인바운드 트래픽을 차단한다. 신뢰할 수 있는 특정 IP 주소만 접근을 허용하는 화이트리스트 정책이 가장 확실하다.
- 소프트웨어 사용 제한 및 권한 최소화: 공식 패치 적용 버전이 출시될 때까지 NitroShare 사용을 일시 중단한다. 혹은 프로그램 실행 계정의 권한을 최소화해 시스템 중요 폴더(시작 폴더, System32 등)에 쓰기 권한이 없도록 설정한다.
- 전송 설정 강화: 가능하다면 TLS 암호화를 활성화한다. 단순 수신 모드가 아닌 비밀번호 요구 또는 인증 옵션을 검토한다. 현재 버전 기능이 제한적일지라도 기본 설정의 취약성을 보완하려는 시도가 필요하다.
- 수신 파일 모니터링: 시스템 시작 프로그램 폴더(
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup) 및 임시 폴더에 알 수 없는 실행 파일(.exe, .scr, .vbs 등)이 생성되었는지 정기적으로 점검한다.
결론 및 보안 권고
CVE-2026-66050 NitroShare 경로 조작 취약점은 단순 파일 전송 오류가 아니다. 인증 없는 네트워크 접근을 통해 시스템 제어권을 탈취할 수 있는 RCE로 이어지는 심각한 보안 결함이다. CVSS v4 기준 8.7점이라는 수치는 실무 환경에서의 치명성을 보여준다. 공식 패치가 없는 상황이므로 관리자는 포트 40818 차단과 권한 제한 같은 보수적인 접근이 필요하다.
보안 담당자는 사내 단말의 NitroShare 설치 여부를 전수 조사하고, 위 완화 조치를 즉시 적용해야 한다. 추가 업데이트 정보나 공식 패치 소식이 확인되는 대로 신속히 업데이트를 진행해 시스템 안전성을 확보해야 한다.