서울과학기술대학교 컴퓨터공학과 이창훈, 손기욱 교수가 이끄는 암호 및 정보보호 연구실(CIS Lab)의 조영효 연구원(지도교수 손기욱)이 여러 오픈소스 네트워크 프로토콜 서버에서 신규 취약점을 발견해 CVE 식별자 5건을 발급받았다.

CVE(Common Vulnerabilities and Exposures)는 공개적으로 확인된 소프트웨어 보안 취약점에 부여되는 국제적으로 통용되는 고유 식별번호로, 취약점을 체계적으로 추적하고 관련 정보를 공유하는 데 사용된다.

이번 성과는 조영효 연구원이 수행 중인 상태 기반(stateful) 프로토콜 퍼징 연구에서 나왔다. 기존 퍼징 도구는 입력을 변형하는 과정에서 서버가 발급한 세션 값·경로·검증자 같은 상태 정보를 쉽게 깨뜨려 깊은 코드 경로에 도달하지 못한다. 이를 해결하기 위해 퍼저와 서버 사이에 프록시를 두어 서버가 실제로 발급한 값을 추적·복원했고, 의존 관계 규칙 도출에는 대규모 언어 모델(LLM)을 보조적으로 활용했다.

이 연구로 스트리밍 서버 LIVE555, SIP 서버 Kamailio, 미디어 서버 OwnTone 등에서 세션 권한 검증 우회, SQL 인젝션을 통한 필터 우회, 경쟁 상태와 범위 밖 메모리 접근으로 인한 원격 서비스 거부 등의 취약점을 확인했다. 발급된 CVE 5건 중 CVE-2026-39863, CVE-2026-41457, CVE-2026-41458, CVE-2026-41470이 공개됐으며, 나머지 1건은 예약(Reserved) 상태로 협의 공개 절차가 진행 중이다.

현재도 분석 대상을 넓혀 연구를 진행 중이며, 추가 취약점 제보가 이어지고 있다.