AI 코드 감사, 게임 네트워킹 라이브러리 결함 43건 수정…27건은 원격 입력 노출

Más Bandwidth의 공식 GitHub 기록에 따르면 게임 네트워킹 오픈소스 라이브러리 4종을 대상으로 한 보안 강화 작업에서 결함 43건이 수정됐다. 개발자 글렌 피들러는 이 작업을 Claude Code Fable 5와의 협업으로 진행했다고 밝혔으며, 실제 수정 커밋과 반영 릴리스를 공개했다.

대상은 UDP 기반 클라이언트·서버 통신을 다루는 yojimbo와 netcode, 신뢰성 있는 메시지 전송을 담당하는 reliable, 비트 단위 직렬화 라이브러리 serialize다. 공개된 집계에서 43건 중 27건은 조작된 패킷이나 신뢰할 수 없는 입력으로 네트워크에서 도달할 수 있는 문제로 분류됐다. 메모리 범위 밖 읽기·쓰기와 정의되지 않은 동작, 서비스 거부, 입력 검증 누락, 암호 구현 문제가 포함됐다.

가장 심각하게 분류된 결함은 yojimbo의 블록 재조립 과정에서 발견됐다. 수신한 블록 조각의 크기를 검증하기 전에 재조립 버퍼로 복사해 힙 영역을 넘겨 쓸 수 있는 문제다. 프로젝트는 이 결함이 2019년 이후 모든 yojimbo 릴리스에 존재했고 원격에서 도달할 수 있었다고 설명했다. 수정은 7월 10일 공개된 yojimbo 1.5.0에 반영됐으며, 해당 릴리스에는 문제를 재현하는 회귀 테스트와 퍼징 체계도 추가됐다.

yojimbo에서는 이 밖에도 메시지 배열 범위를 벗어나는 쓰기, 초기화되지 않은 유니언 데이터 읽기, 네트워크 입력으로 실행되는 디버그 단언과 할당 실패 시 충돌 등이 수정됐다. 프로젝트는 다섯 개 libFuzzer 대상을 신뢰할 수 없는 입력 처리 경로에 배치하고 AddressSanitizer·UndefinedBehaviorSanitizer·MemorySanitizer 기반 CI와 고패킷 손실 조건의 장시간 테스트를 적용했다.

netcode 1.4.0은 서버 재시작 때 AEAD 암호화 논스가 재사용될 수 있는 고위험 문제를 고쳤다. 서버를 중지한 뒤 다시 시작하면 전역 패킷 시퀀스가 0부터 재개돼, 같은 키와 논스 조합으로 서로 다른 평문을 암호화할 가능성이 있었다. 수정 버전은 서버 시작 때 시퀀스를 다시 무작위화하며 기존 와이어 프로토콜과의 호환성은 유지한다. 이 변경을 포함한 최신 yojimbo 릴리스는 1.7.0이다.

reliable에서는 조각 헤더를 읽은 뒤 남은 길이가 아니라 전체 패킷 길이를 전달해 수신 버퍼를 넘어 읽을 수 있는 문제가 고위험으로 분류됐다. serialize에서는 부호 있는 바이트 수로 경계 검사를 계산해 버퍼 끝을 넘어 읽을 수 있는 결함과 정렬되지 않은 32비트 읽기, 압축 부동소수점 입력 검증 누락 등이 수정됐다. 프로젝트가 현재 권고하는 버전은 reliable 1.3.5와 serialize 1.4.4다.

이번 공개는 AI가 오래된 코드를 단순 생성하는 데서 그치지 않고 퍼징 대상 작성, 정적 검토, 회귀 테스트 구성과 수정안 검증을 보조한 사례라는 점에서 의미가 있다. 다만 결함 43건과 네트워크 도달 가능 27건이라는 분류, AI의 기여 범위는 프로젝트 유지관리자가 공개한 자체 기록에 기반한다. 별도의 CVE 식별자나 외부 보안기관의 독립 검증 자료는 확인되지 않았다.

사용자는 yojimbo 1.7.0, netcode 1.4.0, reliable 1.3.5, serialize 1.4.4 이상으로 업데이트할 필요가 있다. 특히 yojimbo는 하위 라이브러리를 함께 포함하므로 기존 버전을 장기간 고정한 게임이나 미들웨어는 번들된 의존성까지 확인해야 한다. 프로젝트는 각 수정에 회귀 테스트를 포함했고 전체 변경 내역과 커밋을 공개했다.

출처: Más Bandwidth 보안 감사 기록 https://github.com/mas-bandwidth/patreon/blob/main/BUGS.md
출처: yojimbo 1.5.0 보안 강화 릴리스 https://github.com/mas-bandwidth/yojimbo/releases/tag/v1.5.0
출처: yojimbo 1.7.0 보안 릴리스 https://github.com/mas-bandwidth/yojimbo/releases/tag/v1.7.0
출처: netcode 1.4.0 보안 릴리스 https://github.com/mas-bandwidth/netcode/releases/tag/v1.4.0
출처: reliable 1.3.5 릴리스 https://github.com/mas-bandwidth/reliable/releases/tag/v1.3.5
출처: serialize 1.4.4 릴리스 https://github.com/mas-bandwidth/serialize/releases/tag/v1.4.4