[CVE] CVE-2026-3945 (CVSS 7.5 · 높음) [CWE-190]

핵심 요약

tinyproxy 1.11.3 버전 이하의 HTTP 청크 전송 인코딩 파서에서 CVE-2026-3945(CVSS 7.5) 정수 오버플로 취약점이 발견되어, 인증되지 않은 원격 공격자가 서비스 거부(DoS)를 유발할 수 있습니다. 이 취약점은 `strtol()` 함수가 청크 크기 값을 파싱할 때 오버플로 조건을 제대로 검증하지 않아 발생하며, 조작된 청크 크기가 산술 연산 중 부호 있는 정수 오버플로를 유발하여 프록시가 엄청난 양의 데이터를 읽으려 시도하고 작업자 연결을 무기한으로 열어두게 합니다. 이는 시스템 리소스 고갈을 통해 모든 작업자 슬롯을 소진시켜 신규 연결을 방해하고 완전한 서비스 중단을 초래합니다. IT 감사인은 핵심 인프라 구성 요소의 취약점 관리 및 안전한 코딩 관행이 서비스 가용성에 미치는 영향을 중점적으로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치tinyproxy를 취약점이 해결된 버전(커밋 bb7edc4가 적용된 버전 또는 1.11.3 이후의 안정화 버전)으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF) 또는 프록시 서버 전단에 위치한 보안 솔루션에서 비정상적인 HTTP 청크 크기 또는 과도한 요청 본문 데이터를 탐지하고 차단하는 규칙을 강화할 것을 권고함.
• ✔관리적 조치모든 인터넷 대면 시스템 및 핵심 인프라 구성 요소(프록시 서버 포함)에 대한 정기적인 취약점 스캐닝 및 패치 관리 프로세스를 강화하고, 제로데이 및 N-데이 취약점에 대한 신속한 대응 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치개발 및 운영 단계에서 정수 오버플로와 같은 일반적인 코딩 취약점(CWE-190)을 방지하기 위한 안전한 코딩 가이드라인을 수립하고, 코드 리뷰 및 보안 테스트 절차에 이를 반영하여 적용해야 함을 권고함.
• ✔관리적 조치서비스 거부(DoS) 공격에 대비하여 시스템의 가용성 및 복원력을 보장하기 위한 비상 계획(DRP)을 수립하고, 정기적인 모의 훈련을 통해 실효성을 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문