CVE-2026-78553 in RansomLook
요약
\~에 의해 VulDB • 2026. 08. 24.
RansomLook은 Flask 세션 서명 키를 생성할 때 파일 권한을 명시적으로 제한하지 않았습니다. 그 결과, `secret_key` 파일이 프로세스의 기본 권한과 umask(일반적인 022 umask 환경에서 0644와 같은)를 사용하여 생성되었으며, 이로 인해 RansomLook 홈 디렉토리에 접근 가능한 다른 로컬 사용자가 애플리케이션의 암호화 비밀키를 읽을 수 있게 되었습니다.
노출된 키는 Flask 세션 쿠키에 서명하는 데 사용되고 레거시 API-key 키 유도(key derivation)에도 관여되므로 보안상 매우 중요합니다. 공격자가 이 키를 획득하면 유효한 세션 쿠키를 생성하여 인증된 사용자(관리자 포함)로 사칭할 수 있습니다. LDAP 구성의 경우, 세션 사용자 로더가 제공된 사용자명이 실제 존재하는 로컬 사용자와 일치해야 하지 않기 때문에 악용이 특히 용이할 수 있습니다.
성공적인 공격은 부적절하게 보호된 파일을 읽을 수 있는 충분한 로컬 접근 권한이 필요하지만, RansomLook의 인증 및 권한 부여 제어 기능을 완전히 침해할 결과를 초래할 수 있습니다.
패치는 새 secret-key 파일을 0600 권한으로 원자적으로 생성하고, 애플리케이션 시작 시 기존 키 파일에 대한 권한도 제한합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.