Arcane CVE-2026-96627 권한 상승 결함이란 무엇인가?

Arcane의 권한 위임 구조에서는 users:update 권한이 부여된 사용자가 대상의 권한 계층을 확인하는 절차 없이 비밀번호를 재설정할 수 있는 결함이 발생했습니다. 일반 사용자가 이 결함을 이용해 글로벌 관리자 계정의 비밀번호를 바꾸면 계정을 완전히 탈취하게 됩니다.

CVE-2026-96627: 권한 계층 검사 부재를 이용한 관리자 계정 탈취

Arcane 2.6.0 미만 버전에서 발견된 CVE-2026-96627 취약점은 시스템의 권한 관리 설계상 치명적인 허점을 안고 있습니다. 핵심 기술 원인은 users:update 경로에서 요청자(Caller)와 대상자(Target) 간의 권한 수준을 비교하는 ‘권한 계층 검사(privilege-hierarchy check)’가 없다는 점입니다.

이 결함이 만들어내는 구체적인 위험은 다음과 같습니다.

1. 비정상적 권한 위임의 악용: 사용자 정의 역할에 users:update 권한이 위임되면 그 사용자는 시스템 내의 어떤 사용자라도 업데이트할 권한을 갖게 됩니다.
2. 관리자 계정 비밀번호 재설정: 이 권한을 가진 공격자는 요청 본문(Request Body)에 새로운 PasswordHash를 설정해 글로벌 관리자 계정의 비밀번호를 임의로 바꿀 수 있습니다.
3. 완전한 시스템 장악: 비밀번호를 재설정한 공격자는 /auth/login 경로에서 새 자격 증명으로 로그인해 관리자 세션을 확보하고 시스템의 전체 제어권을 가져갑니다.

이 공격 경로는 GHSA-pw5q-rjx4-7f7p에 공개된 PoC(Proof of Concept)로 재현이 검증됐습니다. 관련 권한이 설정된 환경이라면 즉각적인 조치가 필요합니다.

GHSA-mp22-58ff-6fhr: 환경 액세스 토큰을 이용한 /api/debug/pprof 인증 우회

CVE-2026-96627과 함께 Arcane에는 관리자 전용 인증 게이트를 우회할 수 있는 환경 토큰 우회 결함(GHSA-mp22-58ff-6fhr)도 식별됐습니다.

인증 우회 메커니즘 및 경로

이 결함은 특정 API 경로에서 관리자 권한을 검증하기 전에 환경 토큰을 처리하는 미들웨어의 제어 순서 문제에서 비롯됩니다.

• 대상 경로: /api/debug/pprof
• 사용 헤더: X-Arcane-Agent-Token
• 발생 원인: managerAuth 미들웨어가 해당 환경을 확인한 후, 실제 관리자 권한 평가가 이뤄지기 전에 다음 핸들러로 제어를 넘겨버리는 구조적 결함이 있습니다.

유효한 환경 액세스 토큰을 가진 요청자는 관리자 전용 인증 절차를 거치지 않고도 /api/debug/pprof 경로에 접근할 수 있게 됩니다.

영향 범위 및 버전별 대응 방안

Arcane을 운영 중인 시스템 관리자와 DevSecOps 엔지니어라면 사용 중인 버전부터 즉시 확인해야 합니다. 특히 사용자 정의 역할에 위임된 권한 설정은 전수 조사 대상입니다.

버전별 보안 상태 및 조치 사항

시스템 관리자를 위한 긴급 체크리스트

1. 버전 업데이트: Arcane 버전을 확인하고, 2.6.0 미만일 경우 최신 패치 버전으로 바로 업데이트하세요.
2. 위임 권한 검토: 사용자 정의 역할 중 users:update 권한이 포함된 역할이 있는지 확인한 뒤 불필요한 권한은 즉시 제거하십시오.
3. 로그 분석: /auth/login 및 users:update 관련 API 호출 로그를 분석해 비정상적인 비밀번호 변경 시도가 있었는지 점검합니다.
4. 토큰 관리: X-Arcane-Agent-Token 헤더를 사용하는 환경 액세스 토큰의 유출 여부를 확인하고, /api/debug/pprof 경로에 대한 비정상적인 접근 시도가 있었는지 모니터링하십시오.

두 결함 모두 단순한 설정 오류가 아니라 코드 수준의 권한 검사 부재와 미들웨어 처리 순서 오류에서 비롯된 문제입니다. 설정 변경만으로는 근본적인 해결이 되지 않습니다. 공식 패치를 적용하는 수밖에 없습니다.