[CVE] CVE-2026-114635 (CVSS 8.7 · HIGH) [CWE-288]

핵심 요약

Traefik v2.11.58 이전 버전 및 v3.7.14 이전 버전에서 SNI 검사를 우회하여 인증을 우회할 수 있는 취약점(CVE-2026-114635, CVSS 8.7)이 발견되었습니다. 이 취약점은 TLS 상태가 nil일 때 SNI 검사가 생략되는 문제로, Go 1.27 빌드 환경에서 인증되지 않은 클라이언트가 HTTP/2 요청을 통해 클라이언트 인증서 없이도 인증서가 필요한 라우터에 접근할 수 있게 합니다. 이는 OWASP Top 10의 A07:2021 – Identification and Authentication Failures에 해당하며, MITRE ATT&CK의 T1190 – Exploit Public-Facing Application 전술에 활용될 수 있습니다. IT 감사인은 조직 내 Traefik 사용 여부를 즉시 확인하고, 해당 취약점의 패치 적용 현황 및 인증 우회 공격에 대한 탐지·방어 체계의 적절성을 점검하여 잠재적 침해 위험을 최소화해야 합니다.

개선 권고안

• ✔기술적 조치Traefik을 사용하는 모든 시스템에 대해 즉시 v2.11.58 이상 또는 v3.7.14 이상 버전으로 업데이트를 적용해야 함을 권고함.
• ✔기술적 조치Traefik을 통해 클라이언트 인증서 기반의 접근 통제를 사용하는 중요 서비스에 대해, 인증 우회 시도를 탐지할 수 있는 보안 로그 및 SIEM 연동 체계를 강화하고, 비정상적인 HTTP/2 요청 패턴에 대한 탐지 규칙을 고도화할 것을 권고함.
• ✔관리적 조치Traefik과 같은 엣지 라우터 및 API 게이트웨이의 보안 취약점 관리 프로세스를 재점검하고, 신규 취약점 발생 시 신속하게 영향도를 분석하고 패치를 적용할 수 있는 비상 대응 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치Go 1.27 빌드 환경에서 Traefik을 운영하는 경우, 해당 환경의 보안 설정 및 패치 관리 절차를 특별히 강화하고, 잠재적 공격 경로에 대한 모의 해킹 및 취약점 점검을 주기적으로 수행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기