[CVE] CVE-2026-33318 (CVSS 8.8 · 높음) [CWE-284, CWE-862]

핵심 요약

CVE-2026-33318은 로컬 우선 개인 금융 도구인 Actual 버전 26.4.0 이전에서 인증된 일반 사용자(BASIC 역할)가 관리자(ADMIN) 권한으로 상승할 수 있는 취약점입니다. 이 취약점은 `POST /account/change-password` 엔드포인트의 권한 부여 확인 누락, OpenID Connect 마이그레이션 시 비활성 비밀번호 행 미제거, 그리고 로그인 엔드포인트에서 클라이언트가 `loginMethod`를 우회할 수 있는 세 가지 결함이 순차적으로 결합되어 발생합니다. 공격자는 이 취약점 체인을 통해 알려진 비밀번호를 설정하고 익명 관리자 계정으로 인증하여 권한을 상승시킬 수 있으며, 이는 MITRE ATT&CK의 T1098(Account Manipulation) 및 T1078(Valid Accounts) 전술과 관련이 있습니다. IT 감사인은 이러한 복합적인 인증 및 권한 부여 로직의 결함, 특히 시스템 마이그레이션 과정에서 발생할 수 있는 잔여 데이터 및 설정 오류에 대한 철저한 검토와 함께, 최소 권한 원칙이 제대로 적용되고 있는지 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치Actual 소프트웨어를 사용하는 경우, 즉시 버전 26.4.0 이상으로 업데이트하여 CVE-2026-33318 취약점을 해결할 것을 권고함.
• ✔기술적 조치모든 애플리케이션의 민감한 기능(예: 비밀번호 변경, 계정 정보 수정, 권한 변경)에 대해 서버 측에서 강력한 권한 부여(Authorization) 검증 로직을 구현하고, 클라이언트에서 전송되는 인증 관련 파라미터가 서버의 인증 설정을 우회할 수 없도록 엄격하게 통제할 것을 권고함.
• ✔기술적 조치시스템 마이그레이션 또는 인증 방식 변경 시, 사용되지 않는 계정 정보, 비활성 비밀번호 해시 등 잔여 인증 관련 데이터를 안전하게 제거하는 절차를 수립하고 이행할 것을 권고함.
• ✔관리적 조치애플리케이션 개발 및 운영 단계에서 보안 취약점 점검(예: 시큐어 코딩 가이드 준수, 정기적인 취약점 분석 및 모의 해킹)을 강화하고, 특히 인증 및 권한 부여 로직에 대한 검증을 철저히 수행할 것을 권고함.
• ✔관리적 조치모든 시스템의 계정 관리 정책을 재검토하여 최소 권한 원칙을 엄격히 적용하고, 관리자 계정의 생성, 변경, 삭제 및 접근 권한 부여 절차를 강화하며, 정기적인 관리자 계정 감사 및 모니터링을 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문