파일 경로에 점 두 개(..)가 서버 밖으로 나가는 문 — ColdFusion CVE-2026-48282를 방어자 눈으로 읽기

이미지 출처: CISA KEV

웹 애플리케이션이 "이 파일 좀 읽어줘"라는 요청을 받았을 때, 그 파일이 정말 자기 영역 안에 있는지를 매번 검사하지 않으면 어떤 일이 벌어질까. Adobe ColdFusion에서 보고된 CVE-2026-48282는 바로 그 지점, 경로 순회(Path Traversal)라 부르는 오래되고도 끈질긴 결함에 관한 이야기임.

핵심 요약

• ColdFusion의 경로 순회 결함으로, 정상 요청인 척하며 서버의 지정된 폴더 바깥 파일에 접근할 수 있는 유형의 취약점임.
• 공격의 본질은 ../ 같은 상위 경로 문자를 요청에 섞어 넣어 애플리케이션이 의도하지 않은 파일을 열게 만드는 것.
• 방어의 핵심은 벤더 패치 적용, 입력값 정규화, 접근 권한 최소화, 그리고 비정상 경로 패턴 로그 탐지 네 가지에 있음.

경로 순회가 대체 뭐길래

서버 입장에서 "파일 이름"은 그냥 문자열일 뿐임. 사용자가 report.pdf를 달라고 하면 정해진 폴더에서 그 파일을 찾아 돌려주는데, 문제는 사용자가 파일 이름 자리에 ../../ 같은 걸 끼워 넣었을 때 시작됨. 운영체제에서 ..는 "한 단계 위 폴더"를 뜻하다 보니, 이걸 여러 번 반복하면 애플리케이션이 원래 머물러야 할 폴더를 벗어나 시스템 설정 파일이나 자격증명이 담긴 파일까지 손이 닿게 되는 거임.

ColdFusion처럼 파일 처리·템플릿·업로드 기능이 풍부한 플랫폼은 이런 입력 지점이 많을 수밖에 없음. 편의를 위해 열어둔 문이 결국 공격 표면이 되는 셈인데, CVE-2026-48282도 그 계열의 문제로 분류됨.

공격자는 무엇을 노리나 (개념 수준)

구체적 페이로드를 늘어놓을 필요는 없고, 흐름만 이해하면 됨. 공격자는 파일 경로를 받는 파라미터를 찾아내고, 그 값에 상위 디렉터리로 거슬러 올라가는 문자를 넣어봄. 애플리케이션이 이 값을 그대로 신뢰하면 서버 내부 파일이 응답으로 새어 나옴. 여기서 얻어낸 설정 파일 하나가 데이터베이스 접속 정보나 관리자 힌트로 이어지면, 단순 정보 노출이 더 큰 침해의 발판으로 커지는 게 이 취약점 계열의 무서운 점임.

개인적으로 이런 결함을 볼 때 늘 드는 생각은, 화려한 원격 코드 실행만 위험한 게 아니라는 거임. "파일 하나 읽히는 것뿐인데" 하고 넘겼다가 그 파일이 하필 열쇠꾸러미였던 경우가 실무에서 정말 많았음.

그래서, 어떻게 막을 것인가

방어자 관점에서 할 일은 명확한 편임. 순서대로 정리하면 이럼.

• 벤더 패치부터. 가장 확실하고 가장 먼저 해야 할 일. Adobe가 배포한 보안 업데이트를 확인해 해당 ColdFusion 버전에 맞는 패치를 적용하는 게 1순위임. 정확한 영향 버전과 수정 버전은 벤더 보안 공지와 취약점 데이터베이스를 교차 확인하는 걸 권함.
• 입력값 정규화와 검증. 파일 경로를 받는 모든 지점에서 .., 인코딩된 슬래시, 널 바이트 같은 우회 문자를 걸러내고, 최종적으로 실제 파일 경로가 허용된 폴더 안에 있는지를 정규화 후 다시 검사해야 함. 화이트리스트 방식으로 열어줄 파일 목록을 정해두는 게 블랙리스트보다 훨씬 안전함.
• 권한 최소화. ColdFusion 서비스 계정이 시스템 전체를 읽을 수 있게 두지 말 것. 서비스가 접근할 필요가 있는 폴더로만 권한을 좁혀두면, 설령 경로 순회가 성공해도 건질 수 있는 게 줄어듦.
• 웹 방화벽(WAF)과 가상 패치. 패치 적용까지 시간이 걸린다면, 경로 순회 시그니처를 탐지·차단하는 규칙으로 임시 방어선을 세워둘 수 있음. 다만 이건 시간을 버는 수단이지 근본 해결은 아님.

탐지 — 이미 노리고 있다면 로그가 말해준다

차단만큼 중요한 게 "누가 시도했는지 보는" 일임. 웹 서버와 애플리케이션 로그에서 다음 신호를 찾아보길 권함.

• 요청 URL이나 파라미터에 ../ 또는 그 인코딩 변형(%2e%2e%2f 등)이 반복적으로 등장하는 경우.
• 평소 접근되지 않던 시스템 설정 파일 경로가 요청에 나타나는 경우.
• 한 IP가 짧은 시간에 다양한 경로 조합을 던지는 스캐닝성 패턴.
• 파일 응답 크기나 상태 코드가 평소와 다르게 튀는 구간.

이런 패턴을 SIEM 규칙으로 만들어두면, 공격이 성공하기 전 단계에서 먼저 알아챌 여지가 생김. 탐지는 "막지 못했을 때를 대비한 두 번째 그물"이라고 생각하면 마음이 편함.

정리하며

경로 순회는 20년 넘게 반복되어 온 결함인데도 여전히 새 CVE 번호를 달고 등장함. 그만큼 "입력을 믿지 말라"는 원칙이 얼마나 지키기 어려운지를 보여주는 것 같음. CVE-2026-48282를 계기로, 운영 중인 ColdFusion이 있다면 오늘 패치 상태부터 점검하고, 로그에서 .. 흔적을 한 번 훑어보는 걸 추천함. 혹시 자기 환경에서 탐지 규칙을 어떻게 짰는지 좋은 방법이 있으면 댓글로 같이 나눠봐요. 방어는 혼자보다 여럿이 볼 때 훨씬 촘촘해지니까요.