[CVE] CVE-2026-56225 (CVSS 8.3 · 높음) [CWE-269]

핵심 요약

Capgo 12.128.2 이전 버전에서 공개 API 키 관리 핸들러에 권한 우회 취약점(CVE-2026-56225, CVSS 8.3)이 발견되었습니다. 이 취약점은 `mode=all`로 생성되었으나 특정 앱으로 제한된 API 키가 `limited_to_apps` 설정을 제대로 확인하지 않아 발생하며, 이는 OWASP Top 10의 A01:2021 – 취약한 접근통제에 해당합니다. 공격자는 이 취약점을 악용하여 `T1550.001 Application Access Token` 기법을 통해 선언된 앱 범위를 벗어나 동일 계정 내 다른 API 키를 열거, 업데이트, 삭제함으로써 계정 수준 자격 증명 변조를 시도할 수 있습니다. IT 감사인은 API 키의 접근 통제 로직 및 권한 부여 체계가 최소 권한 원칙에 따라 설계 및 구현되었는지, 그리고 설정 오류를 방지하기 위한 검증 절차가 충분한지 면밀히 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치Capgo 12.128.2 이전 버전을 사용하는 경우, 즉시 최신 보안 패치가 적용된 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치API 키 생성 및 관리 시스템의 권한 부여 로직을 재검토하여, `limited_to_apps`와 같은 범위 제한 설정이 `mode=all` 설정보다 우선적으로 적용되고 올바르게 검증되도록 수정 및 강화할 것을 권고함.
• ✔기술적 조치모든 API 키에 대해 최소 권한 원칙(Least Privilege)을 적용하고, 불필요하게 넓은 권한이 부여되지 않도록 정기적으로 점검 및 조정할 것을 권고함.
• ✔관리적 조치API 키의 생성, 발급, 사용, 폐기 등 전 생애주기에 걸친 명확한 관리 정책을 수립하고, 개발 및 운영 담당자가 이를 철저히 준수하도록 교육 및 감독을 강화할 것을 권고함.
• ✔관리적 조치API 키를 포함한 모든 자격 증명 정보는 Secrets Manager 또는 KMS(Key Management Service)와 같은 보안 솔루션을 통해 안전하게 관리하고, 소스코드나 설정 파일에 하드코딩하는 것을 금지하는 정책을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문