32년 묵은 텔넷 취약점 발견... 1994년생 버그가 아직도 살아있었다

요약 1994년에 처음 작성되어 무려 32년 동안 방치되어 있던 텔넷(Telnet) 데몬의 치명적인 보안 취약점(CVE-2026-32746)이 최근 발견되어 패치되었습니다. 취약점이 만들어진 시기는 영화 '해커스'가 개봉하고 인터넷 요금을 '패킷당' 과금하던 시절까지 거슬러 올라갑니다. DREAM 보안 연구팀이 발견한 이 취약점은 GNU inetutils telnetd의 LINEMODE SLC(Set Linemode Characters) 협상 처리기에서 발생하는 BSS 기반 버퍼 오버플로우 버그입니다. 공격자는 사전 인증(로그인)을 거치지 않고도 원격에서 인접한 변수 약 400바이트를 손상시켜 임의 코드를 실행(Pre-Auth RCE)할 수 있습니다. 단순히 GNU inetutils뿐만 아니라, 수십 년간 여러 운영체제들이 동일한 텔넷 코드를 복사·포크해 사용해 왔기 때문에 여파가 광범위합니다. 연구진에 따르면 우분투, 데비안 등 주요 리눅스 배포판은 물론 FreeBSD, NetBSD, macOS(Tahoe), Haiku, TrueNAS Core, Citrix NetScaler 등 다양한 시스템이 해당 취약점의 영향을 받는 것으로 확인되었습니다. 보안 업계에서는 현대에 암호화도 안 되는 텔넷을 왜 아직 쓰냐는 반응도 나오지만, SSH 클라이언트를 올리기 어려운 8비트 마이크로컨트롤러 기반 산업용 CNC 장비나 구형 레거시 인프라 등 여전히 많은 현장에서 텔넷이 운용되고 있어 주의가 요구되고 있습니다.