[단독분석] 분석 — CVE-2026-48710

• 심각도 medium · CVSS 6.5 · EPSS 0.36257 · 악용난이도 easy · KEV

• 공격자는 HTTP 요청에 RFC 9112 §3.2 / RFC 3986 §3.2.2를 위반하는 Host 헤더 값을 삽입합니다.
• Starlette는 이 값을 검증하지 않고 request.url을 재구성하므로, request.url.path와 실제 요청 경로가 불일치하게 됩니다.
• 보안 정책이 request.url 기반으로 적용되는 미들웨어·엔드포인트에서는 차단 로직이 우회되어 인증·인가 검증을 회피할 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 공격자가 네트워크를 통해 인증·사용자 개입 없이 바로 악용할 수 있음을 의미합니다. EPSS 0.36257이라는 높은 실측값과 KEV 등재는 실제 환경에서 이미 악용 사례가 관찰되고 있음을 뒷받침합니다. 이 취약점은 Starlette 1.0.1 이전 버전을 사용하는 ASGI 애플리케이션에 대해, Host 헤더를 조작한 HTTP 요청을 전송하면 발생합니다. 조작된 Host 값이 request.url 재구성에 사용되면서, 라우팅 로직은 실제 경로와 다른 URL을 반환하고, request.url 기반 보안 검증을 수행하는 미들웨어·엔드포인트는 우회될 수 있습니다. 공격 표면은 HTTP(S) 프로토콜을 통해 외부에 노출된 모든 Starlette 서비스(보통 80/443 포트)이며, 특히 request.url을 권한 검사 등에 활용하는 라우트가 대상이 됩니다. 인증·사용자 상호작용이 전혀 필요 없고 조작만으로 성공하므로 난이도는 “easy”로 평가됩니다.

• 기술적 위험: URL‑기반 접근 제어가 무력화돼 인가되지 않은 리소스에 접근하거나, 내부 서비스 간 호출에서 권한 상승이 가능해질 수 있음(데이터 유출·비인가 작업 수행).
• 비즈니스 영향:
  • 가용성 저하: 공격자가 비정상 경로를 통해 과부하를 일으킬 경우 서비스 중단 위험.
  • 규제/컴플라이언스: 인가 우회가 개인정보·민감 데이터 접근으로 이어질 경우 GDPR, HIPAA 등 준수 의무 위반 가능.
  • 신뢰도 손실: 보안 정책 회피가 공개될 경우 고객 및 파트너 신뢰 감소.
• 영향 제품·노출 규모: Starlette 0.8.3‑1.0.0을 포함한 다수 라이브러리(encode starlette, Red Hat AI Inference Server 3.3.x‑3.3.5, Ansible Automation Platform, Migration Toolkit for Applications < 8.2.0, OpenShift AI 3.3‑3.4.2, OpenShift Lightspeed)에서 해당 프레임워크가 사용되므로, 공급망 차원에서 광범위한 노출이 예상됩니다.
• 근거: 다중 소스 교차검증 결과 일관성이 확인됐으며([교차검증]), EPSS 0.36257(백분위 0.98375)로 실제 악용 가능성이 높은 편이며, KEV 등재와 “easy” 난이도 평가가 추가 위험을 시사합니다([실측 악용예측]).

• 동일한 Host 헤더 검증 부재를 이용하는 다른 ASGI 프레임워크(예: FastAPI)에서 유사한 우회 기법이 보고된 바 있어, 동일 환경에 존재할 경우 연쇄적인 보안 정책 회피가 가능함을 추정합니다.

• 웹 서버/프록시 로그에서 Host 헤더 값이 RFC 9112 규격을 위반하는 문자열(예: 공백, 비ASCII 문자, 포트 누락·과다) 패턴을 감시합니다.
  • 정규식 예시: (?i)^\s*Host:\s*(?![a-z0-9.-]+(:\d+)?$).+$
• Starlette 미들웨어에서 request.url과 scope["path"]가 불일치하는 경우 경고 로그를 남기도록 모니터링합니다.

• 즉시 조치: 모든 서비스에 적용된 Starlette 버전을 1.0.1 이상으로 업그레이드하고, 배포 파이프라인에서 해당 버전 검증을 강화합니다([우선순위 결정]).
• 근본 해결: 커스텀 미들웨어를 도입해 Host 헤더를 RFC 9112/3986에 맞게 사전 검증하고, 비정상값은 scope["server"] 정보를 사용하도록 보완합니다.
• 추가 방어: 웹 애플리케이션 방화벽(WAF)에서 위 정규식 기반 Host 헤더 필터링을 적용하고, 로그 분석 시스템에 이상 탐지 룰을 추가합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=6.5 · KEV · EPSS=0.36257 · exploit=easy · in_scope=None