CVE-2026-114554: Drupal AI File to Text 모듈 접근 우회(SA-CONTRIB-2026-251) 점검

Drupal 컨트리뷰션 모듈 AI File to Text에서 인가 검사 결함에 따른 접근 우회 이슈가 확인되어 CVE-2026-114554와 Drupal 컨트리뷰션 보안 공지 SA-CONTRIB-2026-251로 등록되었습니다. 이 글은 CVE 레코드와 NVD 레코드, 저장소 태그 목록에서 확인되는 사실과 아직 확인되지 않은 정보를 분리하고, 운영자가 지금 무엇을 어떤 순서로 점검해야 하는지 조건부로 정리합니다.

개요

확인된 내용은 출처별로 좁게 나누어 보는 것이 정확합니다.

• NVD 레코드가 제공하는 설명은 Drupal AI File to Text 모듈의 Incorrect Authorization(부적절한 인가) 취약점이 Forceful Browsing(강제 브라우징)을 허용한다는 점입니다. 이번 조사에서 NVD 근거로 확인할 수 있는 범위도 이 취약점 설명과 강제 브라우징 대목까지입니다.
• 약점 분류인 CWE-863 Incorrect Authorization은 CVE Project / Drupal Security Team 레코드에 적힌 내용입니다.
• Moderately critical(보통 수준의 치명적) 등급의 Access bypass라는 심각도·유형 표기와 SA-CONTRIB-2026-251 공지 번호 결속 역시 같은 CVE Project / Drupal Security Team 레코드에서 나온 것으로, 제공된 NVD 근거가 별도로 뒷받침하는 항목은 아닙니다.
• CVE Project 레코드의 설명 문구는 영향 버전을 0.0.0부터 1.0.1까지로 표기합니다.

강제 브라우징이라는 표현은 통상 정상적인 링크 탐색이나 권한 부여 흐름을 거치지 않고 특정 경로에 직접 요청을 넣어 보호되어야 할 자원에 도달하려는 시도를 뜻합니다. 정리하면 이번 사안은 제공된 근거가 확인하는 범위에서, CWE-863으로 분류된 인가 로직 결함이 강제 브라우징을 가능하게 하는 접근 우회입니다. 근거에 적히지 않은 추가적인 성질이나 영향까지 덧붙이지 않는 편이 안전합니다.

영향 범위

CVE Project 레코드의 설명 문구에는 'This issue affects AI File to Text versions: from 0.0.0 to 1.0.1'이라고 적혀 있습니다. 이 표기만으로는 1.0.1 자체가 영향 버전에 포함되는지, 즉 1.0.1이 수정 직전 마지막 버전인지 이미 수정이 반영된 버전인지가 확정되지 않습니다. 레코드에서 추가 설명을 확인할 수 없으므로 1.0.1을 영향 범위에 포함되는지로 단정하지 않는 것이 정확합니다. Drupal 공식 보안 공지 SA-CONTRIB-2026-251에서 상한 경계를 확인하기 전까지는 이 지점을 유보로 두고 점검하는 편이 안전합니다.

• CVE 설명 문구가 명시적으로 드러내는 하한은 0.0.0입니다.
• Drupal 저장소 태그 목록에 AI File to Text 1.0.1 태그가 확인됩니다. 이 태그는 1.0.1 릴리스가 존재한다는 사실만 뒷받침할 뿐, 위의 버전 표기 경계 애매함을 해결하거나 영향 여부를 정해주지는 않습니다.
• 1.0.1 근처 버전을 운용 중이라면 포함 여부 판단은 공지 확인까지 유보하고, 아래 조건부 점검은 그대로 진행하는 편이 현실적입니다.

이 취약점의 공격 전제 조건과 적용 조건, 즉 비인증 상태로 가능한지 특정 권한이 필요한지는 이번 근거로 확인되지 않습니다. 그래서 모듈이 설치되고 활성화되었다는 사실만으로 직접 영향 대상을 확정할 수는 없고, 점검은 먼저 설치 여부와 설치된 버전 번호를 확정하는 데서 출발해야 합니다.

기술적 분석

CVE Project / Drupal Security Team 레코드가 근본 원인으로 분류한 것은 CWE-863, 즉 인가 로직의 결함입니다. 모듈이 특정 요청 경로 또는 리소스에 대해 의도된 권한 검사를 올바르게 수행하지 않으면, 요청자는 정상적인 UI 흐름이나 권한 부여 경로를 거치지 않고 보호되어야 할 경로에 직접 접근을 시도할 수 있습니다. 이렇게 의도된 권한 체계 밖에서 자원에 도달하려는 방식이 CVE 설명의 강제 브라우징 표현에 해당합니다.

같은 레코드에 적힌 공급사 분류, 즉 Moderately critical과 Access bypass는 조건을 두고 읽어야 합니다. 하나는 Drupal 보안 팀이 이 이슈의 상대적 위험도를 중간 단계로 보았다는 것이고, 다른 하나는 피해의 성격이 권한을 통과하지 않은 접근 쪽에 있다는 것입니다. 둘 다 프로젝트(공급사) 기준의 상대 분류이며, 이번 근거에는 이 취약점의 독립적인 심각도 재평가나 CVSS 수치가 포함되어 있지 않습니다. 따라서 공급사 등급을 곧바로 우리 환경의 운영 우선순위로 환산하지 말고, 아래 한계와 점검 결과를 함께 놓고 판단해야 합니다.

악용 현황

현재 근거 기준으로 공개된 개념 증명(PoC), 상세 기술 분석, 실제 악용 사례는 확인되지 않았습니다. CISA KEV 등재 여부도 확인되지 않았습니다. 여기서 구분해야 할 문장은 근거를 찾지 못했다와 악용이 불가능하다가 서로 다르다는 점입니다. 조사 시점에 공개 근거가 없다는 사실은 공격자의 관심을 예측하지 못합니다.

결론적으로 악용 난이도나 실제 활용 여부에 대한 판단은 유보하는 것이 정확합니다. 이 이슈의 운영 우선순위는 악용 정황이 아니라 설치 여부, 확인된 버전 표기, 그리고 사이트가 실제로 어떤 파일을 이 모듈로 처리하는지를 확인하는 결과에서 출발하는 편이 합리적입니다.

판단을 유보하게 만드는 한계

• CVE 설명 문구의 버전 표기 경계가 불명확해 1.0.1 포함 여부가 확정되지 않습니다.
• 수정 버전 번호와 패치 세부 내용이 이번 근거에 없습니다.
• 공격 전제 조건, 실제로 노출되는 자원의 종류와 범위, 구체적인 공격 절차가 기술되어 있지 않습니다.
• CVSS 점수 등 공급사 분류와 독립적인 심각도 수치가 제공되지 않았습니다.
• 이 이슈 전용의 공개된 탐지 시그니처, IOC, 로그 포인트는 확인되지 않았습니다.

이 한계들은 아래 지침의 성격도 바꿉니다. 아래 조치는 확인된 취약점 유형과 CVE 설명에 적힌 버전 표지에서 도출한 조건부 안내이며, 취약점 고유 지표에 기반한 전용 가이드가 아닙니다.

대응 방안

확인된 사실에서 도출한 조건부 대응 순서는 다음과 같습니다. 실제 우선순위는 모듈이 우리 사이트에서 실제로 다루는 자료의 민감도를 확인한 결과에 따라 조정해야 합니다.

• 설치 여부와 버전 확정: 운영 중인 Drupal 사이트에서 AI File to Text 설치 여부와 설치 버전을 먼저 확정합니다. 설치 버전이 CVE 설명 문구가 가리키는 0.0.0부터 1.0.1까지로 표기된 버전 계열에 해당한다면, 특히 상한 경계인 1.0.1에 가까운 버전이라면, 공식 공지에서 해당 버전이 영향 범위에 포함되는지 확인하는 단계를 우선합니다.
• 공지 확인: Drupal 공식 보안 공지 SA-CONTRIB-2026-251에서 영향 버전의 정확한 경계와 권고 조치를 확인합니다. 현재 근거에는 수정 버전 번호와 패치 세부 내용이 없으므로, 권고 버전은 공지에서 확인한 뒤 적용해야 합니다.
• 접근 이력 점검: 접근 우회 유형의 특성상, 모듈이 다루는 파일과 리소스에 대해 권한이 없거나 비인증 상태에서 출발한 접근 시도가 남아 있는지 로그를 확인합니다. 존재하지 않아야 할 직접 경로 접근 패턴을 보는 것이 목적이며, 이 이슈 전용 탐지 시그니처나 IOC가 확인되지 않았다는 점을 전제한 일반적 관행입니다.
• 노출면 저감: 공지를 확인하기 전이거나 수정 버전 적용이 어려운 상황에서는 모듈 비활성화 또는 제거를 포함한 노출면 저감 검토가 현실적입니다. 모듈이 필요 없는 사이트라면 제거가 가장 단순한 노출 감소가 됩니다.
• 변경 전후 비교: 업데이트 또는 비활성화 전후의 접근 로그를 비교해 의도하지 않은 동작 변화나 이미 시도된 접근 흔적이 있는지 살핍니다.

우선순위는 조건별로 다르게 보는 것이 타당합니다. 다만 어떤 파일과 데이터가 이 모듈을 통해 실제로 접근 가능해지는지는 근거에 기술되어 있지 않으므로, 실제로 노출되는 자원 범위에 대한 판단은 각 사이트의 확인 결과에 맡길 수밖에 없습니다. 오래된 버전 계열을 그대로 운용 중이거나, 모듈이 다루는 경로가 공개 접속 가능한 사이트에 놓여 있다면 조기 점검 대상입니다. 반면 모듈은 설치했으나 실제로 사용하지 않거나 파일 처리와 무관한 구성이라면, 서둘러 업데이트하기보다 제거 또는 비활성화로 마무리하는 쪽이 변경 위험이 적을 수 있습니다.

장기적으로는 다음이 유효합니다.

• Drupal 컨트리뷰션 보안 공지(SA-CONTRIB 시리즈)를 상시 추적하고, 컨트리뷰션 모듈을 커널 업데이트와 같은 주기의 패치 대상으로 관리합니다.
• 필요하지 않은 컨트리뷰션 모듈은 제거해 노출면 자체를 줄입니다.
• 감내 가능한 변경 창구 안에서 보안 업데이트를 우선 반영하는 운영 정책을 유지하고, 모듈별 책임자와 적용 기한을 정해 둡니다.

참고자료

• CVE-2026-114554 (CVE List V5 record)
• NVD record for CVE-2026-114554
• AI File to Text repository tag 1.0.1

함께 읽으면 좋은 글

• CVE-2026-41709: VMware ESX 로깅 불충분 결함 KEV 등재와 관리자 행위 추적 점검
• CVE-2026-100155: WordPress Ninja Forms 3.15.5 이하, 인증 없는 임의 쇼트코드 실행
• CVE-2026-103882: WordPress Acadlix LMS(AI Quiz Maker) 1.1.9 이하 미인증 임의 파일 삭제

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.