최근 글로벌 개발 커뮤니티를 뜨겁게 달구고 있는 화제는 오픈클로의 새로운 보안 취약점입니다. 단순한 버그 수정을 넘어, 시스템의 권한 관리 로직에 존재했던 치명적인 설계 결함이 드러나면서 많은 전문가들이 이 이슈에 주목하고 있습니다. 특히 NVD 에서 공식적으로 CVE-2026-33579 로 등록된 이 취약점은 2026.3.28 버전 이전의 오픈클로 인스턴스에서 발견되었으며, 핵심 원인은 /pair approve 명령어가 호출자의 권한 범위를 제대로 전달하지 못했다는 점에 있습니다.
이 문제가 주목받는 이유는 그 파급력이 예상보다 훨씬 복잡하고 미묘하기 때문입니다. 일반적인 보안 이슈가 외부에서 무작위 메시지를 보내는 것으로 시작된다면, 이번 취약점은 이미 게이트웨이 접근 권한을 가진 사용자가 특정 명령어를 통해 더 넓은 권한을 획득할 수 있다는 점에서 독특합니다. 즉, 관리자 권한이 없는 사용조차도 디바이스 페어링 권한만 있다면, 대기 중인 디바이스 요청을 승인하면서 관리자 권한까지 포함하는 광범위한 범위를 획득할 수 있는 경로가 열려 있었던 것입니다. 이는 시스템 내부의 확장 모듈과 인프라 레이어 간의 권한 검증 로직이 서로 다른 방식으로 작동하면서 발생한 일종의 틈새 현상이었습니다.
하커 뉴스와 같은 주요 기술 포럼에서는 오픈클로의 제작자가 직접 이 문제를 해명하며, 이것이 텔레그램이나 디스코드 같은 특정 메신저의 고유한 결함이 아니라 공유된 플러그인 명령어 처리기에서 발생한 문제임을 명확히 했습니다. 제작자의 설명에 따르면, 초기 패치가 게이트웨이 RPC 경로는 강화했지만, /pair approve 플러그인 명령어 경로에서는 호출자 범위를 전달하는 로직이 누락되어 핵심 로직이 빈 값일 때 기본적으로 허용되는 방식으로 작동했다고 합니다. 이로 인해 이미 승인된 명령어 발송자가 최신 페어링 요청을 승인하는 과정에서 권한 상한선을 우회할 수 있게 된 것입니다.
전문가들의 분석에 따르면 이 취약점은 인증 메커니즘이 부재한 경우 약 63% 의 인스턴스에서 즉각적인 접근이 가능했으며, 공격자가 페어링 인터페이스에 접속하여 관리자 권한을 요구하는 장치를 등록한 뒤, 스스로 승인 명령을 내리는 단계를 거치면 1 분도 채 걸리지 않아 전체 인스턴스를 장악할 수 있었습니다. 이는 단순한 접근 권한 상승을 넘어 데이터, 서비스, 자격 증명 등 인스턴스 내 모든 자원을 위협할 수 있는 심각한 상황으로 이어졌습니다. 현재는 나비디아, 바이트댄스, 텐센트, 오픈AI 등 주요 기업들의 개발자들이 참여하여 코드베이스를 더욱 견고하게 다듬는 작업이 한창 진행 중이며, 향후 오픈클로의 보안 아키텍처가 어떻게 진화할지에 대한 관심이 집중되고 있습니다.
작성자 소개
