[Argus] CVE-2026-33872: elixir-nodejs Worker 프로토콜 경쟁 조건으로 인한 교차 사용자 데이터 유출 또는 정보 노출

[LEEKIYOON-SEC]

🛡️ elixir-nodejs Worker 프로토콜 경쟁 조건으로 인한 교차 사용자 데이터 유출 또는 정보 노출

탐지 일시: 2026-03-31 04:32:21 (KST)
탐지 사유: 신규 취약점

취약점 유형 (CWE): CWE-362

📦 영향 받는 자산

벤더	제품	버전
revelrylabs	elixir-nodejs	< 3.1.4 (단일 버전)

🔍 AI 심층 분석

항목	내용
기술적 원인	elixir-nodejs 라이브러리의 워커 프로토콜에서 요청‑응답 간 연관 검증이 없고, 다중 요청이 동시에 처리될 때 레이스 컨디션이 발생한다. 이 레이스 컨디션으로 인해 워커가 버퍼에 남아 있는 이전 요청의 데이터를 다음 요청에 반환하는 “stale response”가 발생하여 교차 사용자 데이터 누출이 일어난다. (CWE‑362)
비즈니스 영향	CVSS 벡터에 의해 확인된 사항: 기밀성(Confidentiality) 영향이 High이며, 이는 민감한 사용자 데이터가 무단으로 노출될 수 있음을 의미한다. 무결성(Integrity) 및 가용성(Availability) 영향은 None으로 확인된다. 공격 벡터는 네트워크(AV:N)이며, 공격 복잡도는 Low(AC:L), 권한 요구는 Low(PR:L), 사용자 상호작용은 필요하지 않다(UI:N). 따라서 공격자는 최소 권한으로 네트워크를 통해 쉽게 접근하여 데이터 누출을 일으킬 수 있다. [추정] 이로 인한 비즈니스 영향으로는 규제 위반, 평판 손상, 고객 신뢰 저하 및 잠재적 재정 손실이 예상된다.

🏹 공격 벡터 상세

항목	내용
공식 벡터	CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
상세 분석	• CVSS:4.0 • 공격 경로: 네트워크 (Network) • 복잡성: 낮음 • 공격 기술: 없음 • 필요 권한: 낮음 • 사용자 관여: 없음 • 취약시스템 기밀성: 높음 • 취약시스템 무결성: 없음 • 취약시스템 가용성: 없음 • 후속시스템 기밀성: 없음 • 후속시스템 무결성: 없음 • 후속시스템 가용성: 없음

🏹 AI 예상 공격 시나리오

MITRE ATT&CK 기반 공격 흐름:
초기 접근(Initial Access) – 공격자는 네트워크를 통해 취약한 elixir-nodejs 서비스에 접근하고, 고빈도 요청을 전송하여 서비스에 진입한다. (T1190: Exploit Public-Facing Application) [추정]
실행(Execution) – 공격자는 다중 비동기 요청을 동시에 전송해 워커 프로토콜의 레이스 컨디션을 유발하고, 요청‑응답 매핑이 없음을 악용한다. (T1210: Exploitation for Remote Services) [추정]
영향(Impact) – 워커가 반환한 스테일 응답을 통해 공격자는 다른 사용자의 민감한 데이터(PII, 인증 토큰 등)를 획득한다. (T1567.001: Exfiltration Over Web Service) [추정]

🛡️ AI 권고 대응 방안

• 취약한 elixir-nodejs 라이브러리를 3.1.4 이상 버전으로 업데이트하여 레이스 컨디션 취약점을 해결한다.
• 공급업체의 보안 권고(GHSA-rwcr-rpcc-3g9m) 및 관련 패치 정보를 적용한다.
• 동시 요청에 대한 요청‑응답 매핑을 강화하고, 각 요청에 고유 식별자를 부여하여 스테일 응답을 방지한다.
• 동시성 제한 및 레이트 리미팅을 적용해 고부하 상황에서 레이스 컨디션 발생 가능성을 낮춘다.
• 워커 응답 로그를 모니터링하고, 예상치 못한 데이터가 반환되는 경우 알림을 설정한다.

📋 탐지 룰 현황

ℹ️ AI SKIP: 익스플로잇 근거 부족
공개 룰 저장소(SigmaHQ, ET Open, Yara-Rules)만 검색되었습니다.

Sigma Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

Snort/Suricata Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

Yara Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

🔗 참고 자료

• GHSA-rwcr-rpcc-3g9m
• Timed-out calls can result in out-of-order responses for subsequent calls revelrylabs/elixir-nodejs#100
• Fix response cross-contamination via request-response correlation UIDs revelrylabs/elixir-nodejs#105
• https://github.com/revelrylabs/elixir-nodejs/releases/tag/v3.1.4