OpenSearch Dashboards CVE-2026-84942 저장형 XSS 취약점 대응, Vega 시각화 작성 권한 점검 필요
AWS 보안 공지에 따르면 OpenSearch Dashboards의 Vega expression function 구현에 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재한다. 영향 범위에는 오픈소스 자가 운영 환경과 Amazon OpenSearch Service 일부 관리형 버전이 포함되며, OpenSearch Serverless는 영향받지 않는다. 대시보드 편집 권한을 여러 운영자나 고객 계정에 위임한 환경이라면, 시각화 저장 권한과 업그레이드 적용 상태를 함께 점검할 필요가 있다.
취약점 개요와 악용 조건
이번 이슈는 Vega 시각화 저장 과정에서 악성 표현식을 우회 삽입할 수 있어 발생하는 저장형 XSS다. 공격자는 원격에서 접근 가능해야 하며, 최소한 대시보드 쓰기 권한을 보유해야 한다.
취약점이 악용되면 공격자가 저장한 조작된 Vega 시각화를 다른 사용자가 열람하는 시점에 해당 사용자 브라우저 세션 문맥에서 자바스크립트가 실행될 수 있다. 단순 조회 계정과 운영자 계정이 같은 대시보드를 공유하는 환경에서는 세션 노출과 관리 기능 오남용 가능성을 우선 점검하는 편이 현실적이다.
영향 버전과 수정 버전
오픈소스 자가 운영 OpenSearch Dashboards는 v2.0.0부터 v2.19.0까지와 v3.0.0부터 v3.5.0까지가 영향 대상이다. 수정 버전은 v2.19.5와 v3.6.0이다.
Amazon OpenSearch Service 관리형 환경은 공지에 열거된 v2.3.0, v2.5.0, v2.7.0, v2.9.0, v2.11.0, v2.13.0, v2.15.0, v2.17.0, v2.19.0, v3.1.0, v3.3.0, v3.5.0이 영향 대상이며, 해당 버전에 대한 수정이 제공됐다. OpenSearch Serverless는 영향받지 않는다고 명시됐다.
운영자가 바로 확인할 항목
자가 운영 환경이라면 현재 운영 중인 OpenSearch Dashboards 버전이 영향 범위에 포함되는지 먼저 확인해야 한다. 포함된다면 권고된 수정 버전인 v2.19.5 또는 v3.6.0으로 계획된 업그레이드를 진행하고, 내부 표준 이미지나 배포 자동화 템플릿에 구버전이 남아 있지 않은지도 함께 점검하는 것이 안전하다.
관리형 Amazon OpenSearch Service를 사용하는 경우에는 사용 중인 도메인 버전이 공지에 포함되는지 확인하고, AWS가 제공한 수정 적용 상태를 서비스 콘솔과 변경 이력 기준으로 검토할 필요가 있다. 특히 여러 팀이 같은 대시보드를 공동 사용한다면 Vega 시각화 작성 권한을 최소화하고, 불필요한 편집 권한이 넓게 배포되어 있지 않은지 확인하는 것이 중요하다.
호스팅·코로케이션 환경에서의 실무 영향
이 취약점은 서버 자체의 원격 코드 실행이 아니라 사용자 브라우저 세션 문맥을 노리는 저장형 XSS이므로, 로그 분석용 대시보드를 다수 운영자가 함께 보는 환경에서 위험도가 커질 수 있다. 서버호스팅이나 코로케이션 환경에서 고객별 모니터링 대시보드를 분리하지 않고 공용으로 운용한다면 권한 경계와 대시보드 공유 범위를 다시 확인할 필요가 있다.
국내나 일본 IDC에서 OpenSearch를 자가 운영하는 경우에도 핵심 대응은 동일하다. 버전 식별, 수정 버전 적용, Vega 시각화 작성 권한 최소화, 기존 저장 객체 중 신뢰할 수 없는 시각화 존재 여부 확인 순으로 점검하는 것이 적절하다.
핵심 포인트
- 취약점은 OpenSearch Dashboards의 Vega 표현식 구현에서 발생하는 저장형 XSS다.
- 공격에는 대시보드 쓰기 권한이 필요하며, 다른 사용자 브라우저 세션에서 자바스크립트가 실행될 수 있다.
- 자가 운영 OpenSearch Dashboards의 수정 버전은 v2.19.5와 v3.6.0이다.
- Amazon OpenSearch Serverless는 영향 대상이 아니다.