[CVE] CVE-2026-114636 (CVSS 8.7 · HIGH) [CWE-306]

핵심 요약

Traefik Kubernetes Ingress NGINX provider에서 인증 우회 취약점(CVE-2026-114636, CVSS 8.7)이 발견되었습니다. 이 취약점은 `ssl-passthrough` Ingress가 비TLS 엔트리 포인트에서 HTTP 라우터를 생성할 때, Ingress에 정의된 접근 통제 어노테이션을 적용하지 않아 발생합니다. 이로 인해 인증되지 않은 공격자가 Ingress 호스트를 통해 백엔드 시스템에 접근할 수 있으며, 접근 시도에 대한 로그도 남지 않아 탐지 및 사후 분석이 어렵습니다. 이는 OWASP Top 10의 A01:2021 – 취약한 접근통제에 해당하며, 조직은 Kubernetes 환경에서 Ingress Controller의 보안 설정 및 접근 통제 정책이 올바르게 적용되는지 주기적으로 점검하고, 미적용된 통제에 대한 탐지 및 로깅 체계를 강화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치Traefik Ingress Controller를 즉시 v3.7.14 이상 버전으로 업데이트하여 CVE-2026-114636 취약점을 해결할 것을 권고함.
• ✔기술적 조치Kubernetes 환경에서 `ssl-passthrough` Ingress를 사용하는 경우, 비TLS 엔트리 포인트로의 HTTP 접근을 제한하거나, Ingress Controller의 설정에서 접근 통제 어노테이션이 모든 엔트리 포인트에 올바르게 적용되는지 철저히 검토하고 필요한 경우 추가적인 보안 계층을 적용해야 함을 권고함.
• ✔기술적 조치Traefik Ingress Controller 및 백엔드 서비스의 접근 로그를 중앙 집중식 로그 관리 시스템(예: SIEM)으로 전송하고, 인증 우회 시도 및 비정상적인 접근 패턴을 탐지하기 위한 모니터링 규칙 및 알림 체계를 고도화할 것을 권고함.
• ✔관리적 조치Kubernetes Ingress Controller와 같은 핵심 인프라 구성요소에 대한 정기적인 취약점 점검 및 보안 설정 감사를 수행하고, 발견된 취약점에 대한 패치 관리 프로세스를 강화할 것을 권고함.
• ✔관리적 조치공급망 보안 관리 절차를 수립하여 오픈소스 및 외부 솔루션 도입 시 보안 취약점 검토를 의무화하고, 지속적인 보안 업데이트 및 패치 적용을 위한 책임과 역할을 명확히 할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기