[CVE] CVE-2026-35152 (CVSS 8.8 · 높음) [CWE-89]

핵심 요약

Apache Fineract 1.14.0 버전 이하의 보고서 실행 API(runreports 엔드포인트)에서 SQL 삽입 취약점(CVE-2026-35152, CVSS 8.8)이 발견되었습니다. 이 취약점은 보고서 매개변수 값에 대한 불충분한 유효성 검사로 인해 발생하며, 보고서 실행 권한을 가진 인증된 사용자가 조작된 매개변수를 통해 임의의 SQL 쿼리를 삽입하여 설계된 범위를 넘어선 데이터에 무단으로 접근할 수 있게 합니다. 이는 OWASP Top 10의 A03:2021 – Injection에 해당하며, MITRE ATT&CK의 Data Manipulation(T1565) 전술로 이어질 수 있습니다. IT 감사인은 핵심 시스템의 입력값 유효성 검증 통제 및 보안 패치 관리 프로세스의 적절성을 점검하고, 데이터 무결성 및 기밀성 침해 가능성에 대한 위험 평가를 수행해야 합니다.

💡 개선 권고안

• ✔기술적 조치Apache Fineract를 1.14.0 버전 이상으로 즉시 업그레이드하여 CVE-2026-35152 SQL 삽입 취약점을 해결할 것을 권고함.
• ✔기술적 조치보고서 실행 API(runreports 엔드포인트)를 포함한 모든 사용자 입력값에 대해 강력한 입력값 유효성 검증(Input Validation)을 구현하고, 매개변수화된 쿼리(Parameterized Queries) 또는 저장 프로시저(Stored Procedures) 사용을 의무화하여 SQL 인젝션을 방지해야 함을 권고함.
• ✔관리적 조치핵심 시스템 및 애플리케이션에 대한 정기적인 취약점 점검 및 보안 패치 관리 프로세스를 수립하고, 식별된 취약점에 대한 위험 평가 및 적시 조치 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치보고서 실행 권한을 포함한 모든 사용자 권한에 대해 최소 권한 원칙(Principle of Least Privilege)을 적용하고, 직무 분리(Segregation of Duties)를 철저히 준수하여 내부자에 의한 데이터 무단 접근 및 조작 가능성을 최소화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문