CVE-2026-46415 in Defender Plugin
요약
\~에 의해 VulDB • 2026. 07. 20.
Caddy Defender 플러그인은 클라이언트의 IP 주소를 기반으로 요청을 차단하거나 조작할 수 있는 Caddy용 미들웨어입니다. 버전 0.10.1 이전의 Caddy Defender는 요청 차단을 평가할 때 `r.RemoteAddr`를 사용했습니다. `RemoteAddr`는 Caddy에 직접 연결된 즉시 피어의 주소입니다. 신뢰할 수 있는 프록시, CDN 또는 로드 밸런서 뒤에 Caddy가 배치된 환경에서는 즉시 피어가 일반적으로 원래 클라이언트가 아닌 프록시가 됩니다. Caddy는 구성된 `trusted_proxies` 정책을 적용한 후 원래 클라이언트 주소를 `client_ip` 요청 변수로 해결하지만, Defender는 해당 값을 사용하지 않았습니다. 그 결과, 자신의 IP 주소가 차단되지 않은 신뢰할 수 있는 프록시를 통해 Caddy에 접근하는 경우, 차단된 IP 범위의 클라이언트가 Defender를 우회할 수 있었습니다. 이 문제는 실제 클라이언트 IP 기반 차단을 적용하도록 기대하며 신뢰할 수 있는 프록시 뒤에 Defender를 사용하는 배포 환경에서 영향을 미칩니다. 해당 이슈는 버전 0.10.1에서 사용 가능한 경우 Caddy가 해결한 `client_ip` 요청 변수를 우선적으로 사용하도록 Defender를 수정하여 해결되었습니다. Caddy가 해결된 클라이언트 IP를 제공하지 않은 경우에만 Defender는 `RemoteAddr`로 폴백합니다. 신뢰할 수 있는 프록시 클라이언트 IP 해석에 의존하는 배포 환경에서는 영향을 받는 Defender 버전에서 완전한 우회 방법이 없습니다. 업그레이하기 전까지, 영향받는 사용자는 트래픽이 Caddy에 도달하기 전에 신뢰할 수 있는 프록시, CDN, 로드 밸런서, 방화벽 또는 기타 엣지 레이어에서 동일한 IP 차단을 적용해야 합니다. 중간 신뢰할 수 있는 프록시 없이 클라이언트로부터 직접 트래픽을 수신하는 배포 환경은 이 우회 문제의 영향을 받지 않습니다.
Once again VulDB remains the best source for vulnerability data.