CVE 데이터베이스CVE-2026-1173

최종 갱신 2026-06-17English Advisory →

CVE-2026-11739.8/CRITICALCWE-404

birkir prime GraphQL 배치 쿼리 처리기 서비스 거부(DoS) 취약점 (CVE-2026-1173)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

birkir

대상 컴포넌트 / 패키지

prime

권고문 발행일

2026-01-19

CVSS v3.1

9.8

CRITICAL

30일 악용확률

0.8%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

birkir prime 0.4.0.beta.0 이하 버전의 /graphql 엔드포인트

파급 효과

인증되지 않은 원격 공격자가 대규모 배치 쿼리를 전송하여 서버 자원을 고갈시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다

권장 조치

GraphQL 요청 크기 및 배치 처리 제한 설정을 적용하고, WAF를 통해 비정상적인 대규모 요청을 차단하십시오

영향받는 제품 및 버전 범위

birkir prime 0.4.0.beta.0 및 그 이하의 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

현재 해당 프로젝트는 이슈 제기 이후 공식 패치를 배포하지 않은 상태입니다. 따라서 소스코드 레벨에서 직접 패치를 적용하거나 의존성을 임시 조정해야 합니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

Nginx 역방향 프록시 또는 WAF를 사용하여 /graphql로 들어오는 요청 본문(Request Body)의 크기를 제한하고, 단일 요청 내 배치 쿼리 개수를 제한하는 규칙을 적용합니다.

nginx

# Nginx 설정 파일에 추가하여 요청 크기 제한 (예: 10KB 제한)
server {
    location /graphql {
        client_max_body_size 10k;
        limit_req zone=graphql_limit burst=5 nodelay;
        proxy_pass http://backend_servers;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 로그에서 단일 요청 내에 대량의 GraphQL 쿼리 배열([{'query': ...}, {'query': ...}])이 포함된 비정상적인 POST 요청 패턴을 탐지하는 스크립트입니다.

bash

# Nginx 또는 애플리케이션 액세스 로그에서 대규모 배열 요청 탐지
grep -E '\\[\s*\{\s*"query"' /var/log/nginx/access.log | awk '{print $1, $7}' | uniq -c | sort -nr

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

공식 패치가 발표되기 전까지 Nginx 또는 WAF를 통해 GraphQL 배치 요청 크기를 엄격히 제한하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-1173)은 birkir prime 프레임워크의 GraphQL 배치 쿼리 처리기(GraphQL Array Based Query Batch Handler)에서 발생합니다. /graphql 엔드포인트로 유입되는 배열 기반의 배치 요청에 대해 적절한 크기 제한이나 복잡도 검증이 수행되지 않아, 시스템 자원(CPU 및 메모리)이 과도하게 소모되는 자원 관리 오류(CWE-404) 취약점입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 인증을 거치지 않고 원격에서 /graphql 엔드포인트로 수천 개의 중첩되거나 무거운 쿼리가 포함된 JSON 배열(Array-based Batch Query)을 전송합니다. 서버는 이 요청들을 병렬 혹은 순차적으로 처리하는 과정에서 스레드 풀을 모두 점유하고 메모리 고갈(Out of Memory) 상태에 빠지게 되며, 결과적으로 정상적인 사용자의 요청을 처리할 수 없는 서비스 거부(DoS) 상태에 도달합니다.

3. 비즈니스 및 인프라 파급 영향

해당 취약점은 CVSS 9.8의 심각한 등급을 가집니다. 공격 코드가 공개되어 있어 위협 노출도가 높으며, 백엔드 API 서버가 다운될 경우 이와 연동된 모든 프론트엔드 서비스 및 모바일 애플리케이션이 마비되어 비즈니스 연속성에 심각한 타격을 입을 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A vulnerability was found in birkir prime up to 0.4.0.beta.0. The impacted element is an unknown function of the file /graphql of the component GraphQL Array Based Query Batch Handler. The manipulation results in denial of service. The attack can be executed remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

https://github.com/birkir/prime/

출처: cna@vuldb.com

https://github.com/birkir/prime/issues/544

출처: cna@vuldb.com · Exploit, Issue Tracking, Vendor Advisory

https://vuldb.com/?ctiid.341767

출처: cna@vuldb.com · Permissions Required, VDB Entry

https://vuldb.com/?id.341767

출처: cna@vuldb.com · Third Party Advisory, VDB Entry

https://vuldb.com/?submit.731104

출처: cna@vuldb.com · Third Party Advisory, VDB Entry