Starlette HTTP Host 헤더 검증 미흡으로 인한 보안 미들웨어 우회 취약점 (CVE-2026-48710)

1. 공식 패치 적용 (권장)

Starlette 의존성을 1.0.1 이상 버전으로 업데이트하십시오. 이 버전에서는 RFC 9112 §3.2 및 RFC 3986 §3.2.2 규격에 따라 Host 헤더를 엄격히 검증하며, 비정상적인 값 발견 시 scope["server"] 정보를 기반으로 안전하게 대체(Fallback)합니다.

# pip를 사용하는 경우
pip install --upgrade "starlette>=1.0.1"

# Poetry를 사용하는 경우
poetry add starlette@latest

2. 임시 완화 조치 (패치 적용 전)

즉각적인 패치가 어려운 경우, 리버스 프록시(Nginx, AWS ALB 등) 또는 WAF 단에서 비정상적인 Host 헤더를 가진 요청을 사전에 차단하십시오.

Nginx 설정 예시:

# RFC 규격에 맞지 않는 Host 헤더를 가진 요청 차단
if ($http_host !~* ^[a-z0-9.-]+(:[0-9]+)?$) {
    return 400;
}

본 취약점(CVE-2026-48710)은 경량 ASGI 프레임워크인 Starlette에서 HTTP Host 요청 헤더를 검증하지 않고 request.url 객체를 재구성할 때 발생합니다.

Starlette의 내부 라우팅 알고리즘은 ASGI scope에 포함된 원시 HTTP 경로(raw path)를 기준으로 동작하는 반면, 개발자가 작성한 미들웨어나 엔드포인트 보안 로직은 흔히 request.url 또는 request.url.path를 참조하여 접근 제어를 수행합니다. 공격자가 RFC 규격에 맞지 않는 비정상적인(Malformed) Host 헤더를 전송할 경우, request.url이 재구성되는 과정에서 파싱 오류나 왜곡이 발생하여 request.url.path가 실제 라우팅된 경로와 다르게 표현됩니다.

이로 인해 특정 관리자 경로(/admin 등)에 대한 접근을 제한하는 보안 미들웨어가 무력화되어, 비인가 사용자가 제한된 엔드포인트에 접근할 수 있는 심각한 보안 결함이 발생합니다. 본 취약점은 실제 공격에 악용된 이력이 존재하여 CISA KEV에 등재되었으며, EPSS 점수가 0.94에 달해 신속한 대응이 요구됩니다.