[CVE] CVE-2026-34034 (CVSS 8.8 · 높음) [CWE-78]

핵심 요약

Coolify 오픈 소스 자체 호스팅 도구의 4.0.0-beta.466 이전 버전에서 CVE-2026-34034(CVSS 8.8) 취약점이 발견되었습니다. 이 취약점은 `sentinel_token` 설정의 불충분한 유효성 검사(CWE-78: OS Command Injection)로 인해 발생하며, 인증된 공격자가 Sentinel 재시작 시 셸 명령을 주입하여 호스트에서 임의 코드를 실행할 수 있게 합니다. 이는 MITRE ATT&CK의 Command and Scripting Interpreter(T1059) 전술, 특히 Unix Shell(T1059.004)을 활용한 공격으로 이어질 수 있습니다. IT 감사인은 조직 내 Coolify 사용 여부를 즉시 확인하고, 해당 취약한 버전을 사용 중인 경우 신속한 패치 적용 및 시스템 관리 도구에 대한 입력값 검증 통제 강화 여부를 중점적으로 감사해야 합니다.

💡 개선 권고안

• ✔기술적 조치Coolify 오픈 소스 자체 호스팅 도구를 사용하는 경우, 즉시 버전 4.0.0-beta.466 이상으로 업데이트하여 CVE-2026-34034 취약점을 해결할 것을 권고함.
• ✔기술적 조치Coolify Sentinel 설정과 관련된 모든 사용자 입력값에 대해 강력한 유효성 검증(Input Validation)을 구현하고, 셸 명령 실행 시 특수 문자 필터링 및 샌드박스 환경 적용 등 OS Command Injection(CWE-78) 방지 대책을 강화할 것을 권고함.
• ✔관리적 조치조직 내 모든 시스템 관리 도구 및 오픈 소스 소프트웨어에 대한 정기적인 취약점 점검 및 패치 관리 프로세스를 수립하고, 고위험 취약점에 대한 신속한 대응 체계를 강화할 것을 권고함.
• ✔관리적 조치Coolify Sentinel 설정에 대한 접근 권한을 최소 권한 원칙(Principle of Least Privilege)에 따라 엄격하게 관리하고, 인증된 사용자의 권한 오남용을 방지하기 위한 모니터링 및 감사 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문