취약점 심각도를 정직하게 매기기 — RCE라고 부풀리지 않으려고 한 일들
퍼징으로 크래시를 찾으면 잠깐 “이거 RCE 아닐까?”라는 생각이 든다. 하지만 크래시와 코드 실행 사이에는 큰 간격이 있다. 네트워크 파서 버그들을 제보하면서 실제로 확인한 영향만 남기고 심각도를 계속 낮춰 잡았던 과정을 정리한다. 공개가 끝난 사례의 평가 방법만 다루고, 미공개 취약점과 재현 입력은 싣지 않는다.RCE로 부풀리지 않는 취약점 영향도와 CVSS 평가 대표 이미지Out-of-bounds read를 RCE라고 부르지 않았다찾은 버그의 중심은 버퍼 경계 밖을 읽는 OOB read였다. 비정상 종료가 재현되면 가용성 영향은 설명할 수 있다. 인접 메모리가 외부 응답이나 로그로 실제 노출되는 경로가 확인되면 기밀성 영향도 논의할 수 있다. 하지만 “읽기 범위를 벗어났다”는 사실만으로 공격자가 값..
보안
2026. 7. 28. 11:00
