CVE-2026-27586 in caddy
요약
\~에 의해 VulDB • 2026. 05. 27.
Caddy는 기본적으로 TLS를 사용하는 확장 가능한 서버 플랫폼입니다. 버전 2.11.1 이전에서는 `ClientAuthentication.provision()` 함수 내에서 두 가지 오류가 묵살(swallowed errors)되어, CA 인증서 파일이 누락되었거나 읽을 수 없거나, 형식이 잘못되었을 때 mTLS 클라이언트 인증서 인증이 실패 시 개방(fail-open) 상태로 조용히 실패합니다. 서버는 오류 없이 시작되지만 시스템 신뢰 목록에 등록된 모든 CA에 의해 서명된 모든 클라이언트 인증서를 수락하여, 의도된 프라이빗 CA 신뢰 경계를 완전히 우회합니다. mTLS를 위해 `trusted_ca_cert_file` 또는 `trusted_ca_certs_pem_files`를 사용하는 모든 배포 환경에서는 CA 파일이 이용 불가능해지면 시스템 신뢰 목록에 등록된 클라이언트 인증서를 모두 수락하는 방식으로 조용히 보안 수준이 저하됩니다. 이는 경로 오타, 파일 회전, 손상 또는 권한 변경 등으로 인해 발생할 수 있습니다. 서버는 mTLS가 잘못 구성되었음을 나타내는 어떠한 표시도 제공하지 않습니다. 버전 2.11.1에서 이 취약점이 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.