[CVE] CVE-2026-40324 (CVSS 9.1 · 심각) [CWE-674]

핵심 요약

오픈 소스 GraphQL 서버인 Hot Chocolate의 `Utf8GraphQLParser`에서 재귀 깊이 제한이 없어 서비스 거부(DoS) 취약점(CVE-2026-40324, CVSS 9.1)이 발견되었습니다. 공격자는 깊게 중첩된 GraphQL 문서를 조작하여 .NET 환경에서 처리 불가능한 `StackOverflowException`을 유발, 전체 작업자 프로세스를 즉시 종료시킬 수 있습니다. 이 취약점은 유효성 검사 규칙이 실행되기 전에 발생하여 기존의 애플리케이션 수준 방어 메커니즘을 우회합니다. IT 감사인은 GraphQL 기반 서비스의 안정성과 가용성에 대한 잠재적 위협을 인식하고, 사용 중인 오픈 소스 구성 요소의 최신 보안 패치 적용 여부를 즉시 점검하여 서비스 중단 리스크를 관리해야 합니다.

💡 개선 권고안

• ✔기술적 조치Hot Chocolate GraphQL 서버를 취약점이 해결된 최신 버전(12.22.7, 13.9.16, 14.3.1, 15.1.14 이상)으로 즉시 업데이트하고, `ParserOptions`에 추가된 `MaxAllowedRecursionDepth` 옵션을 안전한 기본값으로 설정하여 재귀 깊이 제한을 적용해야 함을 권고함.
• ✔기술적 조치GraphQL 파서 수준에서 입력값의 구조적 유효성 검증 및 자원 제한(예: 쿼리 깊이, 복잡도)을 강화하는 방안을 검토하고, 이를 우회할 수 있는 잠재적 취약점에 대한 정기적인 보안 점검을 수행할 것을 권고함.
• ✔관리적 조치오픈 소스 소프트웨어(OSS) 구성 요소에 대한 취약점 관리 정책을 수립하고, SBOM(Software Bill of Materials) 구축 및 SCA(Software Composition Analysis) 도구를 활용하여 사용 중인 OSS의 최신 보안 취약점을 지속적으로 모니터링하고 패치 적용 절차를 강화할 것을 권고함.
• ✔관리적 조치서비스 거부(DoS) 공격에 대비한 비상 대응 계획(IRP)을 재검토하고, 애플리케이션 계층 DoS 공격에 대한 탐지 및 대응 능력을 향상시키기 위한 모의 훈련을 정기적으로 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문