데브코어, POC 2026서 사파리 26.5 샌드박스 코드 실행 시연
데브코어 연구진이 11월 12일 서울 POC 2026에서 WebKit 익스플로잇 체인으로 사파리 26.5 웹 콘텐츠 프로세스 내부 코드 실행을 입증했다.
데브코어(DEVCORE) 연구진이 2026년 11월 12일 서울에서 열린 POC 2026에서 Safari 26.5의 웹 콘텐츠 프로세스 내부에서 코드 실행을 시연했다. 시연은 브라우저 샌드박스가 켜진 상태에서 진행됐으며, 실행 결과로 /etc/passwd 파일 내용이 출력됐다. 이번 발표는 보안 매체 dailysecu.com이 전했다.
발표는 쿠안팅 첸과 팅위 첸이 맡았고, 제목은 'Obvious Was Only the Beginning: A WebKit Exploit Chain for Pwn2Own'이었다. /etc/passwd 출력은 Pwn2Own을 주최하는 제로데이 이니셔티브가 요구한 증명 방식이다.
익스플로잇 체인의 구성
연구진은 처음에 JavaScriptCore의 WebAssembly 메모리 확장 처리에서 use-after-free 취약점을 찾았지만, 이는 이미 출시된 Safari 빌드에서 패치된 상태였다. 이후 JavaScriptCore의 DFG 최적화 단계에서 변경 가능한 버퍼 주소가 상수로 취급되는 관련 메모리 버그를 발견했다. 연구진은 Apple Silicon의 포인터 인증 코드(PAC) 우회는 WebKit의 JIT 컴파일과 메모리 할당을 분석해 직접 해결했다고 밝혔다. 대규모 언어 모델은 탐색 범위를 좁히고 코드를 작성하는 데 활용했다고 설명했다.
이번 시연으로 입증된 것은 Safari 웹 콘텐츠 프로세스 내부의 코드 실행까지이며, 운영체제 전체에 대한 접근은 아니다. 연구진은 Apple이 macOS 27.3 베타에서 JIT 코드 실행 범위를 제한하는 'JIT Cage'를 활성화했지만, 효과를 검증할 시간은 없었다고 덧붙였다.
이번 Safari 연구는 원래 Pwn2Own Berlin 2026을 위해 준비됐으나 그 자리에서는 시연되지 못했다. 2026년 5월 열린 Pwn2Own Berlin 2026에서 데브코어는 17개의 동작하는 익스플로잇을 등록했지만 이 중 4개만 시연할 수 있었다. 당시 데브코어는 Edge 샌드박스 탈출로 17.5점과 175,000달러를 획득했고, 최종적으로 50.5점, 505,000달러로 대회 우승을 차지했다.
POC는 2006년 한국 최초의 국제 해킹 콘퍼런스로 시작됐다. POC 2026은 11월 12일부터 13일까지 이틀간 The Westin Seoul Parnas에서 열리며, 400명 이상의 보안 전문가가 참석한다.
한눈에 보기
데브코어가 POC 2026에서 시연한 것은 무엇인가?
Safari 26.5의 웹 콘텐츠 프로세스 내부에서 샌드박스가 켜진 상태로 코드를 실행하고 /etc/passwd 내용을 출력하는 WebKit 익스플로잇 체인이다.
이번 시연으로 운영체제 전체 제어가 가능한가?
아니다. 연구진은 Safari 웹 콘텐츠 프로세스 내부의 코드 실행까지만 입증했으며 운영체제 전체 접근은 아니다.
POC 2026은 언제 어디서 열리나?
2026년 11월 12일부터 13일까지 The Westin Seoul Parnas에서 열린다.