OpenSRE 승인 게이트 우회 CVE-2026-109444: shell_run 프롬프트 인젝션과 확인 가능한 범위

OpenSRE를 운영하는 환경에서 CVE-2026-109444에 대해 제공된 근거로 확인할 수 있는 것은 두 가지로 좁혀집니다. 이 배포가 영향 버전 범위 안에 있는지, 그리고 CVE 레코드 제목과 연구 설명이 전제하는 shell_run 실행 구성을 실제로 갖고 있는지입니다. 프롬프트 인젝션의 지점이 되는 구체적인 입력 채널은 제공된 근거에서 확인되지 않습니다. 아래는 확인된 내용과 확인되지 않은 내용을 분리해 정리합니다.

개요

CVE Project의 cvelistV5 레코드는 이 취약점을 “OpenSRE through 0.1.2026.10.19 Approval Gate Bypass via shell_run Prompt Injection”이라는 제목으로 등록했습니다. 레코드 제목은 영향 범위(through 0.1.2026.10.19), 결함의 성질(approval gate bypass), 실행 경로(shell_run 프롬프트 인젝션)를 한 문장으로 함께 명시합니다. 상세 레코드는 CVE Project cvelistV5의 CVE-2026-109444 항목에서 확인할 수 있습니다.

대상 도구인 OpenSRE(Tracer-Cloud/opensre)에 대해 Lasso Security의 취약점 설명은 Grafana와 Loki 같은 관측성 도구의 알림과 인시던트를 분류하고 복구 조치까지 수행할 수 있는 오픈소스 AI SRE 에이전트라고 서술합니다. 같은 설명은 이 에이전트의 액션 에이전트가 항상 shell_run 도구에 접근할 수 있다는 구조를 함께 언급합니다. Lasso Security는 이 취약점을 “OpenSRE Prompt Injection to RCE”라는 제목으로 등록해 프롬프트 인젝션에서 원격 코드 실행(RCE)으로 이어지는 사슬을 제시했습니다.

승인 게이트가 문제 되는 지점은 이 도구의 기능 자체에 있습니다. 알림 분류와 복구 조치를 자동화하는 도구에서 승인 절차가 우회된다는 것은, 자동화의 실행 지점이 곧 승인 없이 도달 가능한 지점이 될 수 있다는 뜻입니다. 다만 승인 없이 어떤 조치까지, 어디까지 실행될 수 있는가의 세부 범위는 제공된 인용에 명시되어 있지 않습니다.

영향 범위

제공된 근거가 직접 지목하는 범위는 다음입니다.

• OpenSRE 0.1.2026.10.19 이하 버전 (CVE 레코드 제목의 through 0.1.2026.10.19)
• 액션 에이전트가 shell_run 도구에 항상 접근할 수 있는 OpenSRE 구성 (Lasso Security 설명)
• Grafana, Loki 같은 관측성 도구의 알림과 인시던트를 분류하고 복구 조치를 수행하는 배포 형태 (Lasso Security 설명)

여기서 위험의 크기는 에이전트가 이미 보유한 접근 범위에 비례할 수 있다는 해석이 가능합니다. 복구 조치까지 수행하는 에이전트라면 shell_run이 항상 열려 있다는 구조 자체가 승인 없이 도달 가능한 실행 지점을 만듭니다. 이 결함이 승인 게이트 우회로 등록된 것은 그 실행 지점의 존재를 전제로 합니다.

다만 어떤 배포 구성에서 위험이 더 큰지에 대한 비교나 정량 평가는 제공된 근거에 없습니다. 특정 산업, 특정 배포 방식, 피해 규모에 관한 서술은 이 글에서 다루지 않습니다.

기술적 분석

확인된 구조의 핵심은 두 요소의 결합입니다. 액션 에이전트가 항상 shell_run에 접근할 수 있다는 점, 그리고 shell_run 경로에 대한 프롬프트 인젝션이 승인 게이트를 우회한다는 점입니다. CVE 레코드 제목은 이 둘을 “Approval Gate Bypass via shell_run Prompt Injection”으로 연결하고, Lasso Security는 같은 경로를 RCE로 이어지는 사슬로 설명합니다.

여기서 한계를 분명히 해야 합니다. 제공된 근거 자료에는 opensre 저장소의 특정 커밋(8eba8c9)에 있는 tools/interactive_shell/subprocess_presenter.py와 gateway/transports/slack/processing/dispatcher.py에 대한 링크가 포함되어 있습니다. 그러나 두 링크에서 확인되는 내용은 파일 경로와 문서 메타데이터 수준에서 끊겨 있으며 파일 본문의 코드 내용은 포함되어 있지 않습니다. 따라서 이 글은 두 파일이 셸 실행이나 입력 처리에서 어떤 구조적 역할을 한다는 결론을 내리지 않습니다. 승인 우회의 코드 수준 논리는 제공된 근거에서 확인되지 않은 영역으로 남습니다.

더 중요한 공백은 인젝션의 지점입니다. CVE 레코드 제목은 실행 경로를 shell_run 프롬프트 인젝션으로 지목하지만, 그 shell_run에 도달하는 프롬프트가 어디에서 오는지는 제공된 근거 어디에도 특정되어 있지 않습니다. 그래서 이 글은 특정한 입력 유입 경로를 공격 성립의 조건으로 제시하지 않습니다.

공개 PoC·익스플로잇 분석

공개된 연구와 개념 증명(PoC)의 존재는 분석 단계에서 공개된 상태로 확인되었습니다. 근거에서 직접 확인할 수 있는 것은 Lasso Security가 이 취약점을 “OpenSRE Prompt Injection to RCE”라는 제목으로 등록해 프롬프트 인젝션에서 원격 코드 실행으로 이어지는 사슬을 서술했고, CVE Project 레코드가 승인 게이트 우회를 through 0.1.2026.10.19 범위와 함께 공식 등록했다는 점입니다. PoC의 실제 코드, 실행 절차, 공개 시점, 게시 위치를 그대로 보여주는 원문은 제공된 근거 자료에 없습니다. 그래서 이 글은 PoC가 주장한 결과의 방향까지만 다루고 그 내부 절차를 재현하거나 특정하지 않습니다.

PoC가 설명하는 결과와 연결되는 확인된 구조는 두 가지입니다. Lasso Security가 설명한 액션 에이전트의 shell_run 접근 구조, 그리고 CVE 레코드가 shell_run 프롬프트 인젝션으로 우회되는 승인 게이트를 결함으로 등록했다는 사실입니다. 이 등록은 그 우회가 설계상 성립할 수 있음을 시사합니다. 반대로 shell_run 경로를 사용하지 않는 구성이라면 CVE 제목이 지목한 경로 자체가 성립하지 않습니다. 버전 일치만으로는 위험이 확정되지 않고 실행 구성 확인이 필요한 이유가 이 지점에 있습니다.

그 사이를 채우는 조건은 특정할 수 없습니다. 어떤 입력이 인젝션의 지점이 되는지, 승인 게이트가 어떤 지점에서 우회되는지는 제공된 근거에 없습니다. 따라서 노출 크기를 입력 경로별로 비교하거나 특정 유입 경로를 공격 성립의 필수 조건으로 놓는 판단은 이 글의 범위 밖입니다.

입증 범위는 가능성에 한정됩니다. 공개 PoC와 연구가 입증하는 것은 그 경로로 승인 없는 명령 실행이 가능할 수 있다는 점이지, 실제 야생 현장에서 이 취약점이 악용되었다는 사실이 아닙니다. 조사 범위에서 실제 악용 사례는 확인되지 않았고, CISA KEV 등재 여부도 확인되지 않았습니다. 따라서 이 취약점은 “실제 공격 관측” 단계가 아니라 “공개된 악용 가능성” 단계로 다뤄야 합니다. PoC 존재를 침해 사례와 같은 성질의 정보로 읽으면 대응의 초점이 실제 사건이 아니라 미확인 시나리오로 옮겨갑니다.

대응 방안

제공된 근거가 허용하는 대응은 적용 여부 확인까지입니다. 탐지 절차, 구성 변경, 완화·설정 지침, 복구 지침은 이 근거가 뒷받침하지 않으므로 이 글은 그것을 제시하지 않습니다.

확인 가능한 항목은 다음입니다.

• 배포된 OpenSRE 버전이 through 0.1.2026.10.19, 즉 0.1.2026.10.19 이하인지 확인합니다. 버전 범위는 CVE 레코드 제목에 명시되어 있으므로 이 확인은 근거가 직접 뒷받침합니다.
• 그 배포가 Lasso Security가 설명한 구성, 즉 복구 조치를 수행할 수 있는 액션 에이전트와 항상 접근 가능한 shell_run 경로를 실제로 포함하는지 확인합니다. 이 구성이 없다면 CVE가 지목한 경로 자체가 성립하지 않습니다.

확인할 수 없는 항목도 함께 명시합니다.

• 프롬프트 인젝션의 구체적인 입력 채널은 제공된 근거에서 확인되지 않습니다. 그래서 특정 입력 유입 경로가 열려 있는지 닫혀 있는지 확인하는 방식으로 적용 여부를 판단하는 절차는 이 글에서 제시하지 않습니다.
• 공식 수정 버전 번호와 업그레이드 지침은 제공된 근거에 없습니다. 그래서 이 글은 특정 버전으로의 업그레이드를 권고하지 않습니다. 패치 가능 여부는 업스트림 정보를 별도로 확인해야 판단할 수 있습니다.
• 공급자 공식 권고문, 수정 커밋의 세부 내용, 승인 우회의 코드 수준 논리도 제공된 인용에 없습니다.
• CISA KEV 등재 여부와 실제 야생 악용 사례는 확인되지 않았습니다.
• 탐지에 활용할 로그 이벤트, IOC, 모니터링 시그니처는 제공된 근거에 없습니다. 결함의 성질이 승인 게이트 우회이므로 승인 없이 실행된 조치가 확인의 초점이 되어야 한다는 해석은 가능하지만, 어떤 로그를 어떤 절차로 대조할지는 이 근거로 특정할 수 없습니다.

현재 근거에서 우선순위를 다시 정리하면 판단의 순서는 버전 일치 확인, CVE 제목과 Lasso 설명이 전제하는 shell_run 실행 구성의 존재 확인의 순서입니다. PoC는 공개되어 있으나 야생 악용은 확인되지 않았다는 상태는, 대응이 실제 침해 조사가 아니라 적용 범위 확정 단계에 머물러야 함을 의미합니다. 각 단계의 실효성은 그 환경의 에이전트 접근 범위와 감사 정보 보존 수준이라는 조건에 따라 달라지며, 그 조건을 평가할 기준은 제공된 근거에 없습니다.

참고자료

• CVE-2026-109444: OpenSRE through 0.1.2026.10.19 Approval Gate Bypass via shell_run Prompt Injection
• OpenSRE Prompt Injection to RCE (CVE-2026-109444)
• tools/interactive_shell/subprocess_presenter.py @ 8eba8c9
• gateway/transports/slack/processing/dispatcher.py @ 8eba8c9

함께 읽으면 좋은 글

• MLflow 추적 서버의 비인증 SSRF(CVE-2026-115886): 선택적 GenAI 평가 구성 점검
• happy-dom import alias 코드 실행(CVE-2026-115895): 확인된 버전과 아직 확인되지 않은 경계
• MSAL Node 정보 노출 취약점(CVE-2026-109461): 기밀 클라이언트 authorization 응답 처리 경계와 v7.1.0·PR #8901

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.