Mythos가 찾은 HFS 취약점이 실제 공격에 악용됐다

VulnCheck 연구원 패트릭 개리티는 중국의 한 IP 주소에서 Rejetto HFS 취약 서버를 겨냥한 공격이 포착됐다고 전했다. 다음 날에는 미국 IP 주소 두 곳에서 네 차례 접속이 탐지됐다. 두 주소는 같은 서브넷(subnet)에 있었고, 개리티는 프록시를 거친 접속으로 보인다고 말했다.

AI 보안업체 Horizon3의 연구원 재크 핸리는 Anthropic의 취약점 탐색 모델 Mythos를 이용해 Rejetto HTTP File Server(HFS)의 새 보안 결함을 찾아냈다. CVE-2026-61500으로 등록된 이 결함은 인증 우회(authentication bypass) 취약점으로, 관리자 권한 획득과 원격 코드 실행으로 이어질 수 있다. HFS를 운영한다면 이 취약점과 다른 보안 결함을 수정한 v3.2.1 이상으로 업데이트해야 한다.

Mythos는 어떤 취약점을 찾았나?

HFS는 웹을 통해 파일을 제공하는 오픈소스 서버다. 파일 서버의 로그인 문을 여는 열쇠를 만들 때 예측 가능한 난수를 쓴 셈이라고 보면 쉽다. 실제로는 난수 생성 방식과 세션 쿠키(session cookie) 서명 과정의 결함이 이어져 인증을 우회할 수 있었다.

핸리는 수요일 Mythos가 이 취약점을 발견했다고 공개했다. 그는 취약 서버에서 코드를 원격으로 실행하는 절차를 보여주는 영상도 공개했다. 다음 날인 목요일 밤부터 실제 공격이 탐지됐다.

개리티는 목요일 링크드인에 CVE-2026-61500 악용 시도를 감지했다고 썼다. 그는 핸리와 Horizon3 팀이 취약점을 발견한 뒤 취약점 번호 부여를 위해 VulnCheck에 신고했다고 덧붙였다. 개리티에 따르면 처음에는 중국의 한 행위자가 미국의 실제 취약 서버를 겨냥했다. 그는 이튿날 《더 레지스터》에 공격이 중국 IP 주소 한 곳에서 시작돼 미국과 일본의 취약 서버를 대상으로 했다고 말했다.

금요일에는 미국 IP 주소 173.239.211[.]248과 173.239.211[.]249에서 네 차례 접속이 탐지됐다. 두 주소는 같은 서브넷에 속하며 프록시에서 나온 것으로 보인다고 개리티는 설명했다. 중국 연계 침입자들이 공격자의 실제 위치를 숨기기 위해 감염된 기기를 프록시로 쓰는 사례가 있으며, 지난 4월 10개국 보안 권고문은 중국 연계 사이버 작전 조직이 프록시 네트워크를 “전략적으로, 대규모로” 사용한다고 경고했다. 다만 이번 접속의 실제 공격자 신원이 확인됐다는 뜻은 아니다.

취약점은 어떻게 만들어졌나?

핸리의 설명에 따르면 HFS는 Math.random()으로 무작위 값을 만든 뒤, 이를 Node.js 웹 프레임워크인 Koa에 전달한다. Koa는 그 값을 이용해 모든 세션 쿠키에 서명한다. 공격자가 서명 키를 알아내면 유효한 세션 쿠키를 위조할 수 있다.

Math.random()이 안전한 의사난수 생성기(PRNG)를 사용한다면 키를 알아내기 어려워야 한다. 그러나 V8의 Math.random()은 안전한 생성기를 쓰지 않았다. Mythos는 여기에 사용된 xorshift128+ 알고리즘의 출력값을 역산할 수 있고, 애플리케이션의 다른 코드 경로가 Math.random()의 출력값을 노출한다는 점을 찾아냈다.

모델의 분석은 마이크로소프트가 개발해 공개한 만족 가능성 모듈로 이론(Satisfiability Modulo Theories, SMT) 풀이 도구 Z3로 의사난수 생성기의 초기값을 복구할 수 있다고 봤다. 핸리는 Horizon3 연구진이 실제 애플리케이션의 암호화 결함을 공격해 인증을 우회하는 데 SMT 풀이 도구를 쓴 사례를 떠올리기 어렵다고 했다.

핸리는 Mythos의 강점이 안전하지 않은 난수 생성기만 지적한 데 있지 않다고 평가했다. 모델은 별도 코드 경로에서 난수 출력값이 유출되는 사실까지 함께 찾아 두 결함을 연결했고, 상태를 복구할 수 있을 만큼의 관측값이 유출된다는 점을 파악했다. 수학·컴퓨터 과학 관련 작업에서 Mythos가 뛰어나다는 것도 핸리의 평가다.

Mythos의 발견을 어디까지 확인할 수 있나?

Horizon3는 7월 Project Glasswing에 합류한 뒤 Mythos를 취약점 연구에 활용해 왔으며, 핸리는 그 과정에서 “많은 치명적 취약점”을 발견했다고 밝혔다. 이는 참여 업체의 설명이다.

개리티의 추적 목록에 따르면 금요일 기준 Mythos와 Anthropic의 Project Glasswing이 발견한 취약점은 286건이다. 목요일 전까지 실제 공격에 악용된 것으로 알려진 취약점은 그중 한 건뿐이었다. Anthropic은 Mythos가 너무 강력해 일반에 공개하기 어렵다고 주장한다. 다만 이번 HFS 취약점이 실제로 악용됐다는 사실만으로 Mythos의 전반적인 성능이나 취약점 발견 능력이 독립적으로 검증된 것은 아니다.

HFS를 사용한다면 v3.2.1 이상인지 확인해야 한다. 원문은 취약 서버의 전체 목록이나 공격 시도의 성공 여부, Mythos의 성능을 비교한 독립 시험 결과는 밝히지 않는다.