환각으로 만들어진 SQLite 취약점에 발급된 치명적 CVE

새 GitHub 저장소가 SQLite를 포함한 50개 이상의 취약점 권고를 공개했으며, 일부 SQLite CVE가 NVD와 CISA의 보안 메타데이터에 반영됐다. 그러나 JFrog 연구진의 검증에서 해당 취약점 주장과 PoC가 실제 코드와 일치하지 않는 것으로 나타났다.

검증 결과는 다음과 같다.

• 권고문이 인용한 함수나 코드가 해당 버전에 존재하지 않거나 취약점과 무관한 로직을 가리켰다.
• 제공된 SQL PoC를 공식 SQLite 빌드에서 **AddressSanitizer(ASan)**와 함께 실행했지만 메모리 오류나 크래시가 발생하지 않았다.
• 문제의 CVE들이 SQLite 공식 보안 권고 페이지에 등재되지 않았다.
• 권고문 전반에서 존재하지 않는 수정 사항, 잘못된 함수 인자, placeholder 메타데이터 등 AI 생성 문서에서 흔히 나타나는 오류가 확인됐다.

JFrog는 SQLite 공식 저장소의 3.41.0, 3.51.2, 3.51.3 태그를 직접 검사하고, 격리된 Docker 환경에서 릴리스 버전을 빌드한 뒤 PoC를 재현했다. 분석한 CVE에는 CVE-2026-51302의 exprComputeOperands() UAF, CVE-2026-51303의 ExprListDelete() UAF, JSON 처리 함수 관련 UAF 등이 포함됐다.

특히 CVE-2026-51302는 처음 CVSS 10.0 Critical로 평가됐지만 이후 7.6 High로 하향 조정됐다. 이번 사례는 LLM이 생성한 것으로 보이는 취약점 권고가 검증 전에 CVE 및 보안 데이터베이스에 유입될 수 있으며, 자동화된 취약점 분류 체계에 대한 코드·PoC 기반 검증이 필요하다는 점을 보여준다.