[보안 공지] Node.js Brotli 취약점(CVE-2026-111497) 대응 안내

[보안 공지] Node.js Brotli 취약점(CVE-2026-111497) 대응 안내

1) 취약점 개요

Node.js 런타임에 내장된 Google Brotli 디코더에서 경계 밖 쓰기(Out-of-Bounds Write)로 인한 원격 코드 실행(RCE) 가능성이 있는 고위험(High) 취약점이 공개되었습니다. 조작된 Brotli 압축 데이터를 서버가 해제할 때 메모리 오염·서비스 거부·임의 코드 실행으로 이어질 수 있습니다. Node.js는 Brotli를 런타임 내부에 내장 배포하므로, 패치 이전의 Node 런타임을 번들한 제품이 영향 대상입니다.

2) 영향 대상

• i-META Server 6.2.100 이상 아래 버전 모두 (AIX / Linux / Windows 전 플랫폼)
  • i-META Server 6.2.100.1 ~ 6.2.100.8
  • i-META Server 6.2.200.1 ~ 6.2.100.17
  • i-META Server 7.0.300.1 ~ 7.0.300.12
  • i-META Server 7.0.300.1 ~ 7.0.300.12
  • i-META Server 7.0.400.1 ~ 7.0.400.42
  • i-META Server 7.0.500.1 ~ 7.0.500.20261025
  • i-META Server 7.0.510.1 ~ 7.0.510.20261025
  • i-META Server 7.0.600.1 ~ 7.0.600.20261025 (ADU플랫폼 7.0.610은 i-META Server 7.0.600 사용)
• 제품에 번들된 Node.js 런타임(패치 전 버전) — OS와 무관하게 해당
• METACUBEURL 로 확인 방법
  
  • Admin > 시스템 옵션 > METACUBEURL : http://127.0.0.1:3003/metasvc 형태인 경우 해당
    METACUBERUL이 http://127.0.0.1:9000/services/metacube/metacube.svc 형태는 node.js 를 사용하지 않는 버전입니다. (i-META-2.5.x는 대상 아님)

3) 조치 계획

• 2026-10-30: i-META 서버의 각 버전에 맞는 조치된 번들 및 라이브러리 배포 예정
• 배포 예정 버전
  

  "i-META_7.0.400.0.X_Server_Aix.zip"
  "i-META_7.0.400.0.X_Server_Linux.zip"
  "i-META_7.0.400.0.X_Server_Windows.zip"
  "i-META_7.0.510.X_Server_Aix.zip"
  "i-META_7.0.510.X_Server_Linux.zip"
  "i-META_7.0.510.X_Server_Windows.zip"
  "i-META_7.0.600.X_Server_Aix.zip"
  "i-META_7.0.600.X_Server_Linux.zip"
  "i-META_7.0.600.X_Server_Windows.zip"
  ※ i-META_7.0.500 의 경우 i-META_7.0.510과 동일하여 i-META_7.0.510 으로 제공 드립니다.

4) 참고 사항

• Node 12(i-META 서버 7.0.500 이하 버전) 사용 고객은 상위 버전으로의 업그레이드를 권장합니다. Node 12는 수명 종료(EOL, 2022-04)로 공식 보안 패치가 제공되지 않습니다.
• 부득이하게 Node 12(7.0.500 이하)를 계속 사용하는 고객의 경우, 조치 번들 제공은 Linux(x64) 환경에 한해 지원되며(AIX/Windows 구형 환경은 상위 Node 교체가 어려움) 일부 문제가 발생할 수 있습니다.
• 적용 전 임시 완화: 웹 서버(리버스 프록시: Nginx/Apache 등) 또는 웹방화벽(WAF)에서 요청 헤더 Content-Encoding: br이 포함된 요청을 차단하면 위험을 낮출 수 있습니다. (WAS 단에서는 적용 불가, 앞단 구성이 없으면 런타임 교체로 대응)

5) 패치 버전 참고

• 본사가 번들 Node 런타임을 22.23.4(패치 버전)로 상향하여 배포하며, 그 하위 라인도 모두 22.23.4로 통일합니다.
• Node 12 사용 라인(i-META 서버 7.0.500 이하)도 22.23.4로 상향하며, 이 경우 Linux(x64) 환경에 한해 조치 번들을 제공합니다.

6) 추가 문의 및 조치된 버전 요청은 CRM(https://cs.bimatrix.co.kr) 및 메일(cherry@bimatrix.co.kr) 로 요청 바랍니다.

7) 참고 URL

• NVD(CVE-2026-111497): https://nvd.nist.gov/vuln/detail/CVE-2026-111497
• 관련기사 : https://www.boannews.com/news/articleView.html?idxno=146700