SolarWinds Observability Self-Hosted에서 발생한 CVE-2026-28329 취약점은 인증된 공격자가 애플리케이션 서버의 네트워크 위치를 악용해 내부망 또는 외부의 임의 목적지로 요청을 보내는 서버 측 요청 위조(SSRF) 취약점입니다. 공격자는 낮은 권한의 인증 계정만으로 서버가 제어 가능한 외부 또는 내부망 목적지로 요청을 생성하도록 유도해 보안 경계를 우회할 수 있습니다.
CVE-2026-28329 취약점 개요
최근 SolarWinds Observability Self-Hosted 제품에서 서버 측 요청 위조(SSRF) 취약점이 식별되었습니다. 취약점 식별 번호는 CVE-2026-28329입니다. 공격자가 서버를 대리인으로 삼아 의도하지 않은 네트워크 요청을 강제한다는 점에서 전형적인 SSRF 패턴입니다.
인증된 사용자는 이 취약점을 악용해 서버의 권한으로 내부망의 민감한 자원에 접근하거나 외부의 악성 서버로 요청을 보내게 만들 수 있습니다. 특히 Self-Hosted 환경의 특성상 인증된 공격자가 애플리케이션 서버를 이용해 내부망 목적지로 요청을 보내도록 유도할 수 있는 위험이 있습니다.
영향 범위 및 CVSS 분석
이 취약점은 특정 버전 이하의 모든 배포 환경에 영향을 미칩니다. 시스템 관리자는 현재 운영 중인 SolarWinds Observability Self-Hosted의 버전을 즉시 확인하고 대응해야 합니다.
영향 버전 및 수정 버전
취약점에 노출되는 버전은 2026.2.3과 그 이전의 모든 버전입니다. SolarWinds는 이를 해결하기 위해 2026.4 버전으로 빠르게 업그레이드할 것을 권고하고 있습니다.
CVSS 3.1 상세 분석
이 취약점의 심각도는 CVSS 3.1 기준으로 산정되었으며, 상세 벡터 값은 다음과 같습니다.
| 구분 | CVSS 3.1 벡터 값 | 상세 의미 |
|---|---|---|
| 전체 벡터 | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N | 네트워크 기반 공격 가능, 낮은 복잡도 |
| 공격 벡터 (AV) | Network (N) | 원격 네트워크를 통해 공격 가능 |
| 공격 복잡도 (AC) | Low (L) | 특별한 조건 없이 공격 수행 가능 |
| 필요 권한 (PR) | Low (L) | 낮은 권한의 인증된 계정 필요 |
| 사용자 상호작용 (UI) | None (N) | 사용자의 개입 없이 공격 가능 |
| 범위 (S) | Changed (C) | 취약점 영향이 다른 보안 영역으로 확장됨 |
기술적 메커니즘 및 공격 경로
CVE-2026-28329 취약점의 공격 경로는 인증된 사용자의 권한을 기반으로 합니다. 일반적인 외부 비인증 공격과 달리 공격자는 먼저 시스템에 접근 가능한 인증 계정을 확보해야 합니다.
- 권한 확보: 공격자는 Low 권한(PR:L)을 가진 인증된 계정으로 시스템에 로그인합니다.
- 요청 유도: 이 계정으로 애플리케이션 서버가 특정 목적지로 요청을 보내도록 유도합니다.
- 목적지 설정: 서버가 신뢰하는 내부망 IP 주소나 공격자가 제어하는 외부 서버 주소를 목적지로 설정합니다.
- 요청 실행: 애플리케이션 서버는 조작된 요청을 정상적인 내부/외부 통신으로 인식해 그 목적지로 임의의 요청을 보냅니다.
이 과정을 거치면 공격자는 애플리케이션 서버를 매개로 자신이 제어하는 외부 목적지나 내부망 목적지로 임의의 요청을 보낼 수 있게 됩니다.
단계별 대응 방안 및 통제책
보안 담당자와 시스템 관리자는 아래 단계에 따라 즉각적인 조치를 취하면 됩니다.
1. 즉각적인 버전 업데이트
가장 근본적인 해결책은 벤더가 제공하는 수정 버전 적용입니다. SolarWinds는 2026.4 버전으로 가능한 한 빠르게 업그레이드할 것을 권고했습니다. 업데이트 전에 현재 버전이 2026.2.3 이하인지 확인하십시오.
2. 단기 네트워크 통제 방안 (Workaround)
업그레이드 적용 전까지 또는 추가적인 방어 계층 구축을 위해 다음 네트워크 통제 방안을 적용합니다.
- 아웃바운드 트래픽 제한: SolarWinds 서버가 외부 인터넷으로 나가는 아웃바운드 접근은 업무상 반드시 필요한 경우에만 허용합니다.
- 엄격한 허용 목록(Allow List) 운영: ‘SolarWinds Secure Configuration’ 문서에 명시된 기준에 따라 엄격한 허용 목록을 생성하십시오.
- 기타 트래픽 차단: 허용 목록에 정의되지 않은 모든 외부 및 내부망 요청 트래픽은 기본적으로 차단(Deny All)해 SSRF 공격 경로를 물리적으로 끊습니다.
3. 계정 및 권한 관리 점검
이 취약점은 인증된 계정(Low 권한)을 전제로 하기 때문에, 불필요한 계정을 정리하고 최소 권한 원칙(Principle of Least Privilege)을 적용해 공격 표면을 줄이는 것이 중요합니다.