권고에 따르면 Openwave Messaging 플랫폼에서 웹메일용 문서를 변환하는 기능인 Webtop Media Transcoder에서 파일 형식 제한이 적용되지 않는 결함의 해설입니다. 점수는 낮지만 공격이 관측되었으므로, Openwave Messaging을 쓰는 메시징 플랫폼 운영자를 위해 확인 방법과 대응을 짧게 정리했습니다.
- CVE
- CVE-2026-111793 (벤더 권고 CAN-2026-2032674, JVNVU#93403064)
- 심각도
- 벤더와 CVE: CVSS v3.1 4.3 (중간). JVN: critical로 표시
- 유형
- 영역 간 잘못된 리소스 전달(CWE-669). 관리자가 정한 파일 형식 제한이 적용되지 않음
- 영향 대상
- Webtop Media Transcoder 1.1.22.0 미만(CVE 레코드는 Linux를 기재)
- 수정
- 1.1.22.0. 벤더는 고객에게 지원되는 최신 Media Server 2.0 릴리스로 업그레이드하라고 안내
- 설명된 영향
- 벤더와 CVE: 의도하지 않은 문서 형식을 변환할 수 있음(가용성에 낮은 영향). JVN: 민감한 정보를 얻을 수 있음
- 날짜
- 출처마다 다름(아래 표 참조)
- 악용
- JVN: 개발사가 공격이 관측되었다고 밝힘. 11월 10일 CISA KEV에 추가(기한 11월 24일)
어떤 취약점인가
벤더 권고와 CVE 레코드에 따르면 Webtop Media Transcoder는 관리자가 설정한 파일 형식 제한을 적용하지 않습니다. Webmail 인터페이스를 거치지 않는 인증된 사용자가 의도하지 않은 문서 형식을 처리하고 변환할 수 있습니다. 권고는 방법을 밝히지 않으며 본 사이트도 밝히지 않습니다.
영향의 표현은 출처마다 다르며, 본 사이트는 어느 쪽에도 치우치지 않습니다.
| 출처 | 내용 |
|---|---|
| 벤더 권고와 CVE 레코드 | 의도하지 않은 문서 형식을 변환할 수 있음. 권고는 CVSS v3.1 4.3을 제시하며 벡터는 CVE 레코드에 있음(기밀성·무결성 영향 없음, 가용성 낮음) |
| JVN | 로그인할 수 있는 공격자가 조작된 파일을 업로드하면 민감한 정보를 얻을 수 있음. critical로 표시. 개발사가 공격이 관측되었다고 밝힘 |
| CISA KEV | 인증된 사용자가 의도하지 않은 문서 형식을 처리하고 변환할 수 있음(벤더와 같은 표현) |
날짜가 서로 다르다
| 출처 | 날짜 |
|---|---|
| 벤더 권고 | 공개일 2026년 10월 7일. 수정 버전 1.1.22.0이 2021년 12월 6일에 릴리스되었다고 기재 |
| CVE 레코드 | 2026년 10월 16일 공개 |
| JVN | 2026년 11월 9일 공개 및 최종 갱신 |
| CISA KEV | 2026년 11월 10일 추가(기한 11월 24일) |
권고 날짜(2026년)와 수정 릴리스일로 기재된 날짜(2021년) 사이에는 4년이 넘는 간격이 있습니다. 본 사이트는 그 이유를 공개 정보로 확인하지 못했으며, 특정한 하나의 날짜로 단정하지 않습니다.
영향 대상
| 항목 | 내용 |
|---|---|
| 제품 | Openwave Messaging Webtop Media Transcoder |
| 영향받는 버전 | 1.1.22.0 미만 |
| 수정 | 1.1.22.0. 벤더는 고객에게 지원되는 최신 Media Server 2.0 릴리스로 업그레이드하라고 안내 |
| 회피책 | 권고에 나와 있지 않음 |
| 절차와 다운로드 | JVN은 개발사에 문의하라고 안내 |
영향 여부 확인 방법
Webtop Media Transcoder 버전 확인
플랫폼의 구성 기록이나 벤더 지원 창구를 통해 실행 중인 버전을 확인하세요. 1.1.22.0 미만이면 영향을 받습니다. 운영, 스테이징, 대기 시스템이 따로 있다면 각각 확인하세요(자산 목록 체크리스트).
변환 기능에 닿을 수 있는 경로 정리
변환 기능이 Webmail 인터페이스를 거치지 않고도 직접 닿는지, 예를 들어 내부망이나 가입자 네트워크, API 등에서 닿는지 확인하세요.
오늘 해야 할 일
버전을 확인하고 벤더에 수정을 요청
영향을 받는다면 벤더 안내대로 1.1.22.0 이상(지원되는 최신 Media Server 2.0 릴리스)으로 업그레이드하세요. 입수 방법과 업그레이드 시 주의점을 벤더에 문의하세요. KEV 기한은 11월 24일입니다.
그때까지 닿을 수 있는 범위를 좁히기
권고에는 회피책이 없습니다. 본 사이트가 독자적으로 덧붙이는 조언으로, 변환 기능에 닿을 수 있는 출발지를 Webmail 플랫폼에 필요한 범위로 제한하세요. 업데이트를 대신하지는 않습니다.
예상 밖의 변환이나 업로드 찾기
변환 로그에서 관리자가 허용하지 않은 문서 형식, Webmail 인터페이스를 거치지 않은 호출, 비정상적으로 많은 양을 찾으세요. JVN이 정보 취득을 언급하므로 업데이트로 끝내지 말고 확인한 범위와 기간을 기록하세요. 절차는 취약점 대응 플레이북에 정리되어 있습니다.
악용 상황
- JVN은 개발사가 이 취약점을 노린 공격이 관측되었다고 밝혔다고 적었습니다. 벤더 권고에는 악용에 대한 언급이 없습니다.
- CISA가 2026년 11월 10일 KEV에 추가했으며 기한은 11월 24일입니다(KEV 버전 2026.11.10). 랜섬웨어 사용 여부는 Unknown, 포렌식 분류는 No로 기재되어 있습니다.
- CVE 레코드에 CISA의 평가가 실려 있습니다(악용: active, 자동화 불가, 기술적 영향: partial).
- 규모, 수법, 피해에 대한 공개 정보는 확인하지 못했습니다.
출처
- Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674(영향받는 버전, 수정 버전, CVSS 4.3, 공개일)
- JVN — JVNVU#93403064(2026년 11월 9일 공개. 공격이 관측되었다는 발표)
- CVE.org — CVE-2026-111793(2026년 10월 16일 공개. CISA의 추가 포함)
- CISA KEV — Known Exploited Vulnerabilities Catalog(11월 10일 추가, 기한 11월 24일)
최종 확인: 2026년 11월 11일.
이어서 읽기
- 실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 용어: CVSS란?