글로벌 클라우드플레어, ACME 검증 버그로 인한 WAF 우회 취약점 수정

클라우드플레어가 자동 인증서 관리 환경 검증 로직의 취약점으로 인해 웹 애플리케이션 방화벽을 우회해 원본 서버에 접근할 수 있던 문제를 수정했다. IT 보안 매체 더 해커 뉴스(The Hacker News)에 따르면 이 취약점은 클라우드플레어의 자동 인증서 관리 환경인 ACME(Automatic Certificate Management Environment) 검증 로직에 영향을 주는 것으로, 보안 통제를 우회해 오리진 서버에 접근할 수 있게 만드는 문제가 있었다고 전했다. 클라우드플레어의 인프라 엔지니어인 흐루시케시 데시판데(Hrushikesh Deshpande), 앤드루 미첼(Andrew Mitchell), 릴랜드 가로팔로(Leland Garofalo)는 이 취약점이 ACME HTTP-01 챌린지 경로인 "/.well-known/acme-challenge/*"로 향하는 요청을 엣지 네트워크가 처리하는 방식에 뿌리를 두고 있었다고 밝혔다. 클라우드플레어는 이 취약점이 악의적인 맥락에서 실제 악용됐다는 증거는 발견되지 않았다고 설명했다. ACME는 RFC 8555로 정의된 통신 프로토콜로, SSL/TLS 인증서의 자동 발급, 갱신, 폐기를 가능하게 한다. 인증

• 헬로티
• 2026-01-22 17:09