AWS SDK for C++ Base64 디코더 메모리 안전성 이슈 대응: CVE-2026-19642, CVE-2026-19643

AWS Security Blog는 AWS SDK for C++의 Base64 디코더에서 발생할 수 있는 메모리 안전성 취약점 2건을 공개했다. 하나는 힙 버퍼 경계를 넘어서는 쓰기, 다른 하나는 일부 플랫폼에서 디코드 테이블 경계를 벗어나는 읽기 문제로 설명됐으며, 공통적으로 영향은 디코드를 수행하는 해당 애플리케이션 프로세스로 한정된다고 밝혔다.

취약점 핵심: Base64 디코더 처리 중 프로세스 크래시 가능성

이번 공지는 AWS SDK for C++ 코어 라이브러리에 포함된 Base64 코덱이 대상이다. 이 코덱은 생성된 서비스 클라이언트의 여러 기능에서 사용될 수 있어, SDK를 직접 사용하는 C++ 애플리케이션뿐 아니라 내부 공용 라이브러리로 SDK를 포함한 빌드 산출물도 함께 영향 범위를 확인할 필요가 있다.

CVE-2026-19642는 특정 입력에서 Base64 디코더가 힙에 할당된 출력 버퍼 끝을 넘어 쓰기를 수행할 수 있는 문제다. AWS는 이로 인해 디코드를 수행하는 프로세스에서 크래시 또는 메모리 손상이 발생할 수 있다고 설명했다.

CVE-2026-19643는 일부 플랫폼에서 특정 입력이 디코드 테이블 범위를 벗어난 읽기를 유발할 수 있는 문제다. 이 역시 디코드를 수행하는 프로세스 크래시로 이어질 수 있다.

영향 버전과 운영 체크 포인트

AWS가 명시한 영향 범위는 AWS SDK for C++ 1.11.861 이하 버전이다. 현재 운영 중인 서비스 바이너리, 표준 서버 이미지, CI 빌드 환경, 사내 패키지 미러에서 해당 버전대가 남아 있는지 우선 확인하는 것이 현실적인 첫 단계다.

특히 외부 입력을 받아 Base64 디코드를 수행하는 API 게이트웨이 연동 모듈, 스토리지 업로드·다운로드 처리기, 인증·서명 관련 부가 처리 코드처럼 요청 데이터와 맞닿는 경로는 우선순위를 높게 점검할 만하다. 다만 AWS가 밝힌 범위는 디코드를 수행하는 프로세스 영향이며, 원문에는 서비스 전반 확산이나 원격 코드 실행 입증 내용은 포함되지 않았다.

서버호스팅·코로케이션 환경에서 볼 점

서버호스팅이나 코로케이션 환경에서 C++ 기반 미들웨어나 자체 에이전트가 AWS SDK for C++를 정적으로 포함해 배포되는 경우, 운영체제 패키지 목록만으로는 영향 여부가 드러나지 않을 수 있다. 배포 바이너리의 종속성 관리 기록과 빌드 시점 SDK 버전 확인이 중요하다.

한국·일본 IDC처럼 여러 고객 워크로드를 표준 이미지로 복제하는 운영에서는, 취약 버전이 포함된 골든 이미지나 내부 템플릿이 남아 있으면 신규 서버에도 동일 구성이 반복될 수 있다. 이번 공지에는 수정 버전이 제시되지 않았으므로, 우선 영향 버전 식별과 공급망 내 잔존 여부 확인이 대응의 중심이 된다.

핵심 포인트

• AWS SDK for C++ Base64 디코더에서 메모리 안전성 이슈 2건이 공개됐다.
• CVE-2026-19642는 경계 밖 쓰기, CVE-2026-19643는 경계 밖 읽기 문제다.
• 영향 버전은 AWS SDK for C++ 1.11.861 이하로 명시됐다.
• 영향은 Base64 디코드를 수행하는 애플리케이션 프로세스로 한정된다고 AWS는 설명했다.
• 원문에는 원격 코드 실행이 입증되지 않았다고 명시됐다.