Node.js 22·24·26 Brotli 취약점 수정 버전 배포

서도윤 기자 2026.10.24 08:11

Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점의 수정 버전을 공개했다. 영향받는 22·24·26 계열은 각각 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트해야 한다.

토포AI로 이 기사 더 깊이 읽기

노트북 화면에서 진행되는 소프트웨어 보안 업데이트 / TokenPost.ai (macro)

Node.js 프로젝트가 원격 코드 실행으로 이어질 수 있는 Brotli 디코더 취약점 CVE-2026-111497의 수정 버전을 배포했다. 영향받는 22·24·26 계열은 각각 22.23.4, 24.22.1, 26.12.1 이상으로 업데이트해야 한다.

Node.js 프로젝트는 21일 공개한 보안 공지에서 오픈AI(OpenAI) Codex Security의 연구원 카이 트란과 실비 메이어를 발견자로 명시했다. 취약점은 Node.js에 포함된 Brotli 디코더에서 발생한다. 악의적으로 만든 압축 데이터를 처리하면 서비스 거부나 메모리 손상, 원격 코드 실행으로 이어질 수 있다.

Brotli는 데이터를 압축해 주고받을 때 쓰이는 기술이다. 취약한 Node.js를 사용하더라도 외부에서 받은 Brotli 데이터를 해제하지 않는 서비스에는 공격 입력이 디코더에 도달하지 않는다. 외부 서버의 압축 응답을 읽거나 설정된 미들웨어가 들어오는 요청 본문을 해제하는 서비스는 해당 처리 경로를 살펴야 한다.

보안업체 임퍼바(Imperva)는 22일 공개한 재현 실험에서 Node.js 24.22.0의 공식 Linux arm64 이미지에 조작된 Brotli 데이터를 전달해 코드 실행을 확인했다고 밝혔다. 같은 입력은 수정 버전 24.22.1에서 거부됐다. 실험에는 Node.js 내장 fetch()로 압축 응답을 읽는 경로와 Express 5·body-parser 2가 요청 본문을 해제하는 구성이 포함됐다.

임퍼바의 실험은 특정 운영 환경과 애플리케이션 구성에서 이뤄졌고, 성공까지 여러 차례 시도가 필요했다. 일반적인 Node.js 서버가 요청을 받는 것만으로 Brotli 본문을 자동 해제하는 것도 아니다. 임퍼바는 취약점이 Express나 body-parser 자체가 아니라 이들이 호출할 수 있는 Node.js 디코더에 있다고 설명했다.

Node.js 프로젝트가 제시한 수정 버전은 22.23.4, 24.22.1, 26.12.1이다. GitHub 보안 권고는 파이썬 패키지 Brotli의 1.0.3 이상 1.2.1 미만과 brotlicffi의 1.0.3 이상 1.2.1.0 미만도 영향 범위로 기록했다. 각 패키지의 수정 버전은 1.2.1과 1.2.1.0이다.

Node.js 프로젝트의 이번 보안 업데이트와 Brotli 취약점 내용은 앞서 본지가 전했다. 수정판 공개와 실제 서비스 반영은 별개다. 운영자는 운영체제에 설치된 라이브러리뿐 아니라 애플리케이션과 컨테이너 이미지에 포함된 Node.js·Brotli 버전도 배포 환경에서 확인해야 한다.