CVE-2026-78551 in RansomLook
요약
\~에 의해 VulDB • 2026. 08. 24.
RansomLook에는 인증 엔드포인트에 여러 취약점이 존재하여, 비인증 원격 공격자가 유효한 사용자 이름을 열거하고 제한 없는 비밀번호 추측 공격을 수행하며, 잠재적으로 애플리케이션 워커 리소스를 고갈시킬 수 있습니다.
로컬 인증의 경우, 로그인 구현부는 이전에 비밀번호 해시 검증 함수를 호출하기 전에 제출된 사용자 이름이 존재하는지 여부를 확인했습니다. 존재하지 않는 사용자 이름을 포함하는 요청은 계산 집약적인 비밀번호 검증 루틴이 실행되는 유효한 계정에 대한 요청보다 훨씬 빠르게 응답을 반환했기 때문에, 원격 공격자는 이러한 응답 시간 차이를 측정하여 어떤 사용자 이름이 RansomLook의 유효한 계정과 일치하는지 결정할 수 있었습니다.
또한 /login 엔드포인트는 실패한 인증 시도의 수나 빈도를 제한하지 않았습니다. 따라서 공격자는 서버 측 스로틀링 없이 알려진 계정에 대해 비밀번호 브루트포스, 사전 기반(dictionary), 패스워드 스프레이잉(password-spraying) 또는 자격 증명 스태핑(credential-stuffing) 공격을 수행할 수 있었습니다. 유효한 사용자 이름의 경우 각 인증 시도는 상당한 CPU 시간을 소비하는 비밀번호 키 유도 함수를 호출하므로, 충분히 높은 속도의 로그인 시도는 애플리케이션의 동기식 Gunicorn 워커를 점유하여 전체 애플리케이션에 영향을 미치는 서비스 거부(Denial of Service)를 초래할 수 있습니다.
이 문제는 공급된 사용자 이름이 존재하지 않을 때 무작위로 생성된 더미 비밀번호 해시를 사용하여 항상 비밀번호 검증을 수행함으로써 해결되었으며, 이로써 사용자 이름 의존적 타이밍 불일치가 제거되었습니다. 실패한 인증 시도는 Valkey/Redis를 사용하여 클라이언트 IP 주소별로 속도 제한(rate-limited)되며, 5분 이내에 5회의 실패 시도 시 1시간 동안 차단됩니다. 또한 역방향 프록시 구성이 업데이트되어 애플리케이션이 클라이언트가 제공한 헤더로 재정의할 수 없는 신뢰할 수 있는 X-Forwarded-For 값에서 클라이언트 주소를 유도하도록 되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.