Starlette 호스트 헤더 결함이 악용 목록에 올랐습니다 - 경로로 인가를 판단하는 코드를 점검하세요

Starlette 는 파이썬으로 비동기 웹 서비스를 만드는 경량 ASGI 프레임워크이자 툴킷으로, 저장소 설명에 따르면 완전한 프레임워크로도, 구성요소만 떼어 쓰는 툴킷으로도 쓰도록 설계돼 있다. 2026년 5월 21일 공개된 보안 권고 GHSA-86qp-5c8j-p5mr 은 이 Starlette 의 호스트 헤더 처리 문제를 다룬다. 심각도는 Moderate, CVSS 6.5 이고 1.0.0 이하가 영향 범위, 고친 판은 1.0.1 이다.

권고가 설명한 구조는 이렇다. 라우팅은 원본 HTTP 경로를 그대로 쓰지만 `request.url` 은 호스트 헤더를 재료로 다시 조립한다. 이때 헤더에 `/`·`?`·`#` 같은 문자가 섞여 있으면 경로·질의·조각의 경계가 달라져, 다시 해석된 `request.url.path` 가 실제 요청된 경로와 어긋난다. 권고가 든 예에서는 호스트 헤더가 `example.com/abc?bar=` 일 때 재조립 결과가 `http://example.com/abc?bar=/foo` 가 되어, 실제 경로가 `/foo` 인데도 해석된 경로는 `/abc` 가 된다.

문제는 그다음이다. 권고는 `request.url.path` 를 보안 판단에 쓰는 애플리케이션이 우회 위험에 놓인다고 적었다. 특히 경로 기반 인가 미들웨어가 취약하며, 앞단 프록시가 잘못된 형식의 호스트 헤더를 걸러 내지 않는 구성에서 더 그렇다. 분류된 약점은 CWE-444(HTTP 요청 해석 불일치)와 CWE-1289 다.

어떻게 악용됐나

The Hacker News 는 9월 3일 보도에서 CISA 가 이 결함을 포함한 일곱 건을 악용 목록에 올렸다고 전했다. 같은 보도는 공격자가 LiteLLM 게이트웨이에 침입하면서 CVE-2026-42271 과 CVE-2026-48710 을 함께 썼고, ELF 바이너리 형태의 XMRig 채굴기를 설치하기 전에 대상 호스트를 식별하고 경쟁 채굴 프로세스를 종료시켰다고 전했다. 보도가 설명한 CVE-2026-48710 의 역할은 경로 주입을 통한 인증 우회다.

점수만 보면 6.5 로 이번에 함께 등재된 다른 결함들보다 낮다. 그러나 실제 공격에서 이 결함이 맡은 역할은 「문을 여는 것」이 아니라 「검문을 지나가는 것」이었다. 단독 점수가 낮은 결함이 사슬의 한 칸으로 쓰이는 전형적인 형태다.

이 결함은 `starlette` 패키지 자체에 있다. 직접 Starlette 로 작성한 애플리케이션이 아니더라도 의존성 목록에 Starlette 가 들어 있다면 설치된 판이 영향 범위에 드는지 확인해야 한다.