[CVE] CVE-2026-29199 (CVSS 8.1 · 높음) [CWE-640]

핵심 요약

phpBB 3.3.16 이전 버전에서 호스트 헤더 인젝션 취약점(CVE-2026-29199, CVSS 8.1)이 발견되어 비밀번호 재설정 링크 오염을 유발할 수 있습니다. `force_server_vars` 설정이 비활성화된 환경에서 공격자가 HTTP 호스트 헤더를 조작하면, 시스템이 이를 신뢰하여 공격자 제어 도메인으로 연결되는 비밀번호 재설정 링크를 생성하고 사용자에게 전송합니다. 이는 MITRE ATT&CK의 Forge Web Credentials(T1606) 및 Email Spoofing(T1672) 전술과 연관될 수 있습니다. 이러한 취약점은 사용자 계정 탈취로 이어져 개인정보 유출 및 서비스 신뢰도 하락을 초래할 수 있으므로, 웹 애플리케이션의 입력값 검증 및 서버 설정 보안에 대한 감사 중요성을 시사합니다.

💡 개선 권고안

• ✔기술적 조치phpBB를 최신 버전(3.3.16 이상)으로 즉시 업데이트하고, `force_server_vars` 설정을 활성화하여 서버 호스트 이름이 HTTP 호스트 헤더가 아닌 서버 설정에서 추출되도록 구성할 것을 권고함. 또한, 웹 서버(Apache, Nginx 등) 또는 웹 애플리케이션 방화벽(WAF)에서 HTTP Host 헤더에 대한 유효성 검증 및 화이트리스트 기반 필터링을 적용할 것을 권고함.
• ✔관리적 조치웹 애플리케이션 개발 및 운영 시 OWASP Top 10 등 주요 웹 취약점 가이드를 준수하여 입력값 검증 및 출력값 인코딩 등 보안 코딩 표준을 강화하고, 정기적인 보안 취약점 점검 및 모의 해킹을 통해 잠재적 위협을 사전에 식별하고 제거하는 프로세스를 수립 및 시행할 것을 권고함. 비밀번호 재설정 등 민감한 기능에 대해서는 다단계 인증(MFA) 적용을 검토하고, 이상 징후 모니터링 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문