OctoAlly 1.0.87 이하 버전에서 보고된 CVE-2026-112147 취약점은 index.ts에서 발생하는 정보 노출 문제로 정의되어 있습니다. 함께 분석한 커밋 3898085의 경고 문구에 따르면, HOST 설정으로 인해 API가 네트워크에 노출될 경우 파일 읽기/쓰기 및 명령 실행이 가능해지는 위험이 언급되어 있습니다.
CVE-2026-112147 취약점 개요 및 영향 범위
본 취약점은 ai-genius-automations의 OctoAlly 라이브러리 1.0.87 버전까지의 제품군에서 발견되었습니다. 취약점의 성격은 레코드 제목 기준 index.ts의 정보 노출(Information Disclosure)로 분류됩니다.
시스템 관리자와 보안 담당자가 주목할 핵심 영향 범위는 다음과 같습니다.
| 항목 | 상세 내용 |
|---|---|
| 영향 제품 | ai-genius-automations octoally |
| 영향 버전 | 1.0.87 이하 버전 |
| 취약점 유형 | 정보 노출 (Information Disclosure) |
| 관련 파일 | index.ts |
커밋 3898085로 살펴본 API 노출 위험성
이 취약점과 관련해 서버를 localhost 전용으로 바인딩하고 비로컬(non-local) Host를 거부하는 내용을 담은 커밋 3898085가 확인되었습니다. 이 커밋을 분석하면 OctoAlly API가 노출되는 구체적인 위험 조건과 잠재적 영향력이 드러납니다.
1. 위험 발생 조건
취약점의 핵심은 HOST 설정 여부에 있습니다. HOST가 지정되어 있을 경우, OctoAlly API는 인증되지 않은 상태로 네트워크에서 도달 가능한 상태가 됩니다. 적절한 접근 제어 설정 없이 HOST 변수가 활성화되어 있다면 외부 네트워크의 공격자가 API 엔드포인트에 접근할 수 있는 환경이 만들어집니다.
2. 잠재적 보안 영향
커밋 3898085의 경고 문구에 따르면, 해당 포트에 도달할 권한이 있는 사용자는 다음과 같은 동작을 수행할 수 있다고 명시되어 있습니다.
- 임의 파일 읽기 및 쓰기: 시스템 내부의 민감한 파일을 열람하거나 임의의 파일을 생성 및 수정할 수 있습니다.
- 원격 명령 실행: API로 서버 상에서 명령어를 실행할 수 있습니다.
이는 인증 절차 없이 네트워크 접근만으로 시스템 자원에 접근할 수 있음을 보여주며, 단순 정보 유출을 넘어서 심각한 시스템 침해로 이어질 수 있는 위험성을 경고하고 있습니다.
보안 권고 사항 및 대응 방안
OctoAlly를 사용하는 개발자와 시스템 관리자라면 API가 외부 네트워크에 무분별하게 노출되지 않도록 설정을 점검할 필요가 있습니다. 관련 커밋 3898085가 제시하는 대응 조치는 다음과 같습니다.
설정 최적화 및 조치 단계
- HOST 설정 해제 (Unset): 서버를 local-only 상태로 유지하려면 지정된 HOST 설정을 unset합니다.
- Localhost 바인딩 확인: 서버가 localhost 전용으로 바인딩되어 있는지 확인하고, 외부의 비로컬 Host 접근 요청이 거부되는지 검증합니다.
OctoAlly 1.0.87 이하 버전을 사용하는 환경이라면 HOST 변수 설정으로 인해 인증 없는 API 노출이 발생하지 않았는지 즉시 점검하고, local-only 설정으로 잠재적인 파일 및 명령 실행 위험을 제거하는 것이 좋습니다.