[CVE] CVE-2026-114638 (CVSS 8.7 · HIGH) [CWE-287]

핵심 요약

Traefik v3.7.0부터 v3.7.14 이전 버전에서 Kubernetes Ingress NGINX 공급자 관련 부적절한 인증 취약점(CVE-2026-114638, CVSS 8.7)이 발견되었습니다. 이 취약점은 `auth-tls-secret` 이름 충돌 시 클라이언트 CA를 부적절하게 병합하여, 공격자가 다른 호스트의 CA 인증서를 소유하고 있을 경우 대상 호스트의 클라이언트 CA를 우회하여 접근할 수 있게 합니다. 이는 인증 및 식별 실패(OWASP A07:2021 – Identification and Authentication Failures)에 해당하며, 인증서 탈취 또는 위조(MITRE ATT&CK T1649)와 같은 공격으로 이어질 수 있습니다. IT 감사인은 조직 내 Traefik 및 Kubernetes 환경의 인증 체계가 이러한 취약점에 노출되어 있는지 즉시 점검하고, 안전한 인증서 관리 및 접근 통제 정책 준수 여부를 확인해야 합니다.

개선 권고안

• ✔기술적 조치Traefik을 사용하는 모든 Kubernetes 환경에서 Traefik 버전을 v3.7.14 이상으로 즉시 업그레이드할 것을 권고함.
• ✔기술적 조치Kubernetes Ingress NGINX 공급자 설정에서 `auth-tls-secret`의 명명 규칙 및 관리 정책을 검토하여 인증서 이름 충돌 가능성을 최소화하고, 클라이언트 CA 기반 인증의 보안 강도를 강화할 것을 권고함.
• ✔관리적 조치핵심 인프라 구성 요소에 대한 정기적인 취약점 스캐닝 및 보안 패치 관리 프로세스를 강화하고, 제로데이 및 알려진 취약점에 대한 신속한 대응 체계를 수립 및 시행할 것을 권고함.
• ✔관리적 조치클라이언트 CA 기반 인증을 포함한 모든 인증 메커니즘에 대한 보안 설정 가이드라인을 수립하고, 관련 담당자에게 주기적인 보안 교육을 실시하여 안전한 운영을 확보할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기