.NET Aspire Dashboard에서 인증 쿠키가 노출되면, 그 쿠키로 인증된 세션을 재생한 공격자 제어 컨테이너가 호스트 개발자 권한으로 코드를 실행할 수 있습니다. 보고된 공격 경로는 이렇습니다. 개발자가 AppHost를 시작하고 Dashboard에 인증한 뒤, 공격자가 제어하는 컨테이너로 라우팅되는 리소스 링크를 방문하면서 인증 쿠키가 노출됩니다. 이 글에서는 CVE-2026-120006 영향 범위, 공격 성립 조건, 수정 릴리스 13.6.5의 변경 내용과 대응 절차를 정리합니다.
CVE-2026-120006 개요:.NET Aspire Dashboard 인증 쿠키 노출
CVE-2026-120006은.NET Aspire Dashboard 인증 쿠키 노출과 개발자 권한 코드 실행으로 식별된 취약점입니다. 문제의 본질은 Dashboard 인증 이후의 세션 자격이 개발자가 방문하는 리소스 방향으로 유출될 수 있다는 점입니다. 개발 환경에서 Aspire로 리소스를 오케스트레이션하는 팀이라면 Dashboard에 연결되는 컨테이너와 리소스 링크까지 신뢰 경계 검토 대상으로 삼아야 합니다.
취약점의 결과는 단순한 정보 유출이 아니라 호스트 개발자 권한으로 코드가 실행되는 것입니다. 개발자 권한은 개발 호스트의 자산과 구성에 넓게 접근하는 위치이므로, 영향은 Dashboard 화면 자체에 그치지 않고 훨씬 크게 확산됩니다.
공격 성립 조건: 보고된 시나리오와 신뢰 경계
단계별 공격 흐름
보고된 시나리오는 다음 순서로 성립합니다.
- 개발자가 Aspire AppHost를 시작합니다.
- 개발자가 Dashboard에 인증합니다.
- 개발자가 공격자가 제어하는 컨테이너로 라우팅되는 리소스 링크를 따라갑니다.
- 이 방문 과정에서 인증 쿠키가 노출되고, 노출된 쿠키로 세션이 재생됩니다.
- 최종적으로 호스트 개발자 권한으로 코드가 실행됩니다.
신뢰 경계에서의 의미
이 시나리오에서 주목할 지점은 두 가지입니다. 첫째, 침입의 시작점이 외부 침투가 아니라 개발자의 정상적인 Dashboard 사용 흐름이라는 점입니다. AppHost 실행과 Dashboard 인증은 모두 정상 작업입니다. 공격은 리소스 링크가 공격자 제어 컨테이너를 가리키는 시점부터 성립 조건을 갖춥니다. 둘째, 노출된 인증 쿠키가 곧바로 세션 재생으로 이어진다는 점입니다. 쿠키 한 번의 유출이 인증 절차 전체를 우회하는 결과로 이어지므로, 쿠키 보호가 이 취약점 대응의 중심에 놓입니다.
영향 범위와 수정 릴리스 13.6.5
CVE-2026-120006 영향 범위는 13.6.4까지 출시된 모든 Aspire 버전이며, 확인된 수정 릴리스는 13.6.5입니다. 영향 버전 폭이 넓어서 특정 최신 버전을 쓴다고 자동으로 안심할 수는 없습니다. 프로젝트별로 실제 참조 버전을 확인하는 절차가 필요합니다.
| 항목 | 내용 | 근거 |
|---|---|---|
| 취약점 식별 | CVE-2026-120006 (.NET Aspire Dashboard 인증 쿠키 노출과 개발자 권한 코드 실행) | |
| 영향 버전 | 13.6.4까지 출시된 모든 Aspire 버전 | |
| 수정 버전 | 13.6.5 | |
| 공격 결과 | 호스트 개발자 권한으로 코드 실행 | |
| 수정의 기술적 변경 | 자동 Dashboard 터널링의 노출 범위를 OTLP gRPC 및 HTTP 엔드포인트로 제한 | |
| 권장 근본 조치 | Aspire.Hosting.AppHost 또는 Aspire.AppHost.Sdk 패키지를 13.6.5 이상으로 업데이트 |
13.6.5가 바꾼 자동 Dashboard 터널링 동작
수정 릴리스 13.6.5는 자동 Dashboard 터널링의 노출 범위를 OTLP gRPC 및 HTTP 엔드포인트로 제한했습니다. 자동 터널링이 텔레메트리 수신에 필요한 통로만 열어두도록 범위가 좁혀진 셈입니다. 이 변경은 임시 완화가 아니라 노출 경로 자체를 구조적으로 줄이는 수정이라, 13.6.5 업데이트가 권장되는 근본 조치의 핵심입니다.
대응 방안: 버전 확인과 업데이트 절차
대응의 기준은 AppHost 프로젝트의 패키지 참조를 수정 버전으로 올리는 것입니다. 다음 절차를 따르십시오.
- 사용 중인 Aspire 버전을 확인합니다. 13.6.4 이하 버전은 영향 범위에 해당합니다.
- AppHost 프로젝트의 Aspire.Hosting.AppHost 패키지 참조를 13.6.5 이상으로 올립니다.
- 패키지를 Aspire.AppHost.Sdk를 통해 암시적으로 가져오는 구성이라면 해당 SDK 참조도 13.6.5 이상으로 올립니다.
- 변경 후에는 참조가 모두 13.6.5 이상으로 해석되는지 확인하고 업데이트를 완료합니다.
영향 범위가 출시된 모든 버전에 걸쳐 있습니다. 여러 AppHost 프로젝트와 리포지토리를 운영하는 조직은 담당자별로 참조 버전 점검 항목을 배분해 누락 없이 반영하는 것이 실행 가능한 첫 조치가 됩니다.
확인되지 않은 부분: 악용 여부, PoC, 탐지 지표
수집된 근거 범위에서 확인되지 않는 사항을 구분해 두는 것도 대응 우선순위 판단에 필요합니다.
- 인증 쿠키가 어떤 구현 경로로 연결된 서비스까지 도달하는지는 확인된 자료에 없어 메커니즘을 확정할 수 없습니다.
- 공격자가 컨테이너를 제어하게 되는 경위도 확인된 자료에 없습니다.
- 실제 악용 사례, 공개 PoC 존재 여부, 독립 연구 검증 여부는 확인되지 않았으며, 확인되지 않는다는 사실이 악용 부재를 뜻하지는 않습니다.
- 이 취약점에 특화된 로그 이벤트, 침해 지표(IOC), 탐지 규칙은 제시된 자료에 없어 이 글에서도 탐지 규칙을 권고하지 않습니다.
- 영향 버전 범위와 수정 버전 수치는 현재까지 확인된 보고서 기준이므로, 운영 정책에 반영하기 전 1차 공식 자료와 대조해 확정할 것을 권장합니다.
CVE-2026-120006은 Dashboard 인증 쿠키 노출이 세션 재생을 거쳐 호스트 개발자 권한 코드 실행으로 이어지는 취약점입니다. 13.6.4 이하를 사용 중이라면 Aspire.Hosting.AppHost 또는 Aspire.AppHost.Sdk 참조를 13.6.5 이상으로 올리는 것이 우선순위가 가장 높은 조치입니다.