2026년 10월 22일, 데스크톱 데이터베이스 클라이언트 Tamery(구 Conar)의 클라우드 동기화(sync) API에서 행(row) 단위 소유권 검증 누락이 공개적으로 보고되었습니다. 전달된 연구 보고서의 분석대로라면, 인증된 사용자가 자신이 소유하지 않은 행을 포함하는 동기화 요청을 보냈을 때 서버가 이를 거부하지 않고 처리할 수 있고, 그 결과 다른 사용자의 채팅·채팅 메시지가 공격자가 보낸 내용으로 대체되거나 주입될 수 있습니다. 야생에서의 실제 악용 사례와 벤더의 수정 릴리스는 현재 근거 자료에서 확인되지 않았습니다.
개요
보고된 결함은 Conar sync API(apps/api, oRPC 라우터)의 권한 검사 로직에 있습니다. 동기화 요청을 처리하는 과정에서 서버가 요청에 포함된 개별 행의 소유자를 다시 확인하지 않아, 요청 단위의 권한 확인만 통과하면 다른 사용자 소유 행에 대한 쓰기가 거부되지 않을 수 있습니다. 공개 연구 보고서는 이 결함을 CWE-639(권한 우회) 계열로 분류하며, 같은 보고서 메타데이터에는 CWE-863(잘못된 권한 부여) 표기도 함께 확인됩니다.
신고는 2026년 10월 22일 GitHub 이슈 wannabespace/tamery Issue #601로 접수되었고, 연구자 상세 보고서(HackMD)는 v0.32.0에서 재현을 확인했다고 밝힙니다. 이 건과 관련해 CVE 식별자가 함께 거론되기도 하지만, 전달된 근거에 CVE 레코드 원문이 포함되어 있지 않아 CVE 번호·CVSS 점수·공식 심각도 평가는 이 글에서 확정하지 못했습니다. 이 부분은 명확한 한계로 남겨둡니다.
영향 범위
근거 자료가 명시하는 영향 범위는 다음과 같습니다.
wannabespace/tamery(구wannabespace/conar) 저장소의 Conar sync API, 즉apps/api의 oRPC 라우터- v0.32.0 및 그 이전 릴리스
- 연구자가 고정해서 재현한 커밋
d57345ab5e8d1d093ff7cc793c14b9fae4df5830 - 클라우드 동기화 서버가 다루는 사용자별 동기화 데이터: 저장된 연결(connection), 연결 리소스, 채팅, 채팅 메시지
영향 범위의 핵심은 배포 형태가 아니라 데이터의 저장 구조에 있습니다. 근거 자료는 Conar가 데스크톱 데이터베이스 클라이언트이며, 그 클라우드 동기화 서버(apps/api)가 각 사용자의 저장 연결·연결 리소스·채팅·채팅 메시지를 하나의 공유 Postgres 데이터베이스에 사용자별 범위(scope)로 저장한다고 명시합니다. 따라서 점검 대상은 서버 설치 위치 자체가 아니라, 그 공유 데이터베이스에 사용자별로 담기는 동기화 데이터와 이를 처리하는 API 경로입니다.
여기서 말하는 실질적 영향은 기밀성 유출보다는 무결성·권한 우회 중심입니다. 근거 자료의 보고서는 권한 우회 클래스를 명시하지만, 데이터 유출 경로는 이 증거에서 직접 확인되지 않았습니다. 따라서 '다른 사용자의 DB 접속 정보나 대화가 자동으로 읽힌다'는 주장은 이 자료로는 뒷받침되지 않으며, 확인된 위험은 무단 쓰기·레코드 주입에 가깝습니다.
기술적 분석
서버 구조가 만드는 공격면. 동기화 서버는 사용자 ID 기준으로 데이터를 분리해 저장하지만, 실제 접근 판정은 각 레코드(행) 단위로 이루어져야 합니다. 요청 자체가 인증된 사용자의 동기화 요청으로 인정된 뒤, 서버가 요청에 포함된 여러 행 각각의 소유자를 다시 확인하지 않는 구조가 문제의 출발점입니다. CWE-639 계열로 분류되는 전형적인 객체 단위 권한 검증 누락 형태입니다.
연구자가 분석한 대표 경로. 상세 보고서는 chatsMessages.update 엔드포인트를 통한 크로스 사용자 레코드 주입(injection) 영향을 집중적으로 분석했습니다. 인증된 공격자가 자신이 소유하지 않은 행을 포함하는 동기화 요청을 보내면 서버가 이를 거부하지 않고 처리할 수 있고, 그 경우 피해 사용자의 채팅 또는 채팅 메시지 데이터가 공격자가 보낸 내용으로 대체·주입될 수 있습니다. 전체 취약 엔드포인트 목록과 상세한 코드 경로는 원문 보고서에만 있어 이 글에서 전수 확인하지는 못했습니다.
왜 AI 채팅 무결성 문제인가. Tamery(구 Conar)는 DB 클라이언트의 AI 채팅 기능을 클라우드 동기화로 연계합니다. 동기화된 대화는 사용자가 자신의 작업 기록으로 신뢰하고, 때로는 DB 작업 판단의 참고 자료로 삼는 대상입니다. 따라서 레코드 주입은 단순한 데이터 오염을 넘어, 사용자가 검증 없이 받아들이는 '정당한 대화 이력'을 공격자가 편집할 수 있는 통로가 됩니다. 이는 근거 자료에서 연구자의 영향 분석으로 명시된 범위이며, 조작된 지시가 실제 DB 실행까지 이어진다는 주장은 이 자료에서 확인되지 않았습니다.
저장 연결·연결 리소스에 대한 의미. 보고서가 저장 대상으로 연결과 연결 리소스를 명시하는 점은, 채팅 외의 동기화 대상에서도 동일한 무결성 침해 가능성이 열려 있음을 시사합니다. 다만 각 리소스별 세부 동작과 영향받는 경로 전체는 원문 보고서에 있으며, 이 분석에서 전부 확인하지 못했습니다.
악용 상태와 공개 수준. 현재 근거 기준으로 야생에서의 실제 악용 사례, 공개된 PoC 코드, CISA KEV 등재가 모두 확인되지 않았습니다. 공개된 것은 상세 기술 보고서와 GitHub 이슈이며, 이는 재현 수준의 공개 연구가 존재한다는 뜻이지 이미 악용이 확산되고 있다는 뜻은 아닙니다. 반대로 'PoC가 없으니 안전하다'로도 읽을 수 없습니다. 전달된 근거의 범위에서 보면, 인증된 사용자가 자신이 소유하지 않은 행을 포함한 동기화 요청을 보낼 경우 서버가 이를 거부하지 않을 수 있다는 것이 보고서가 분석한 동작이기 때문입니다. 다만 이 결론은 위임·다중계정·토큰 관리 등 각 배포 환경의 인증 구성이라는 전제 성질이 있으며, 벤더의 후속 공지를 기준으로 판단을 갱신해야 합니다.
대응 방안
즉시 점검할 것
- Tamery(구 Conar) v0.32.0 이하를 사용하면서 클라우드 동기화를 켜 두었다면, 동기화 사용을 중단하거나 신뢰 범위가 확인된 사용자 집합으로 제한하는 것을 먼저 검토하세요. 공유 Postgres 기반 동기화 서버가 영향 범위로 명시되었다는 점이 근거 자료로 확인되었습니다.
- 이미 동기화된 AI 채팅 기록과 채팅 메시지에 예상하지 못한 추가·변경·삭제가 있는지 사용자 단위로 확인하세요. 확인된 위험이 무결성 침해이므로, '로그인이 정상'이라는 사실만으로 대화가 원본이라고 결론 내릴 수 없습니다.
- 셀프호스팅 또는 기업 운영 관점에서 동기화 서버를 돌린다면, 비소유 행 쓰기를 식별할 감사 로그가 남아 있는지 먼저 확인하세요. 이 근거 자료에는 로그 스키마나 감사 로그 지원 여부가 명시되지 않아, 로그 기반 사후 탐지가 가능하다는 전제를 세울 수 없습니다.
근본 대응
- 벤더의 수정 릴리스가 나오면 즉시 업그레이드하는 것이 최선입니다. 현재 근거에는 수정 버전·패치 커밋·일정이 없어 특정 버전을 지목한 업그레이드 지시를 내릴 수 없고, 수정 릴리스 존재 자체도 확인되지 않았습니다. GitHub 이슈와 저장소 릴리스 노트를 추적하는 것이 현실적인 첫 단계입니다.
- 서버 측 권한 검사를 요청 단위가 아닌 각 행의 소유자 검증(object-level authorization)으로 구현하고 회귀 테스트로 확인하는 것이 CWE-639 계열의 표준적 대응입니다. 이는 공개 보고서의 취약점 분류에 근거한 일반 원칙이며, Conar 코드베이스의 구체적 수정 내용은 이 자료로 확인되지 않았습니다.
- 클라우드 동기화 채팅 데이터를 업무 판단의 단일 근거로 쓰지 않는 운영 수칙을 권고합니다. 무결성을 독립적으로 확인하기 어려운 데이터를 DB 작업 판단의 유일한 참고 자료로 삼는 관행은, 이번 취약점 확인 여부와 무관하게 리스크가 있습니다.
탐지·관제의 한계
현재 근거에는 공개 IOC, 시그니처, 감사 로그 포맷, 탐지 쿼리 가이드가 확인되지 않았습니다. 이 취약점 클래스는 정상 동기화 트래픽과 공격 트래픽이 프로토콜 위에서 유사해 보일 수 있어 로그만으로 구분하기 어려울 수 있습니다. 따라서 현 시점에서 실효성 있는 통제는 '동기화 사용 범위 축소'와 '기록 무결성 대조'에 가깝고, 벤더·연구자의 탐지 가이드가 공개되면 대응 지침을 다시 갱신해야 합니다.
참고자료
- Issue #601: Security vulnerability in wannabespace/tamery
- Conar sync API broken per-row ownership checks allow cross-user record injection
함께 읽으면 좋은 글
- CVE-2026-100151: WordPress Ninja Forms 3.15.5 이하 반사형 DOM XSS 점검
- CVE-2026-107307: Drupal SmartLinker AI 모듈 정보 노출(SA-CONTRIB-2026-210) 점검
- CVE-2026-114554: Drupal AI File to Text 모듈 접근 우회(SA-CONTRIB-2026-251) 점검
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!