Cloudflare, ACME 검증 로직 취약점 신속하게 패치 완료

2025년 10월 13일, FearsOff 보안 연구원에 의해 Cloudflare의 ACME 검증 로직 취약점이 발견됨

해당 취약점은 ACME HTTP-01 챌린지 경로(/.well-known/acme-challenge/*)에서 WAF 기능 비활성화를 유발

Cloudflare는 이 취약점을 패치했으며, 고객은 별도 조치 불필요

악의적인 공격에 악용된 사례는 아직 확인되지 않음

ACME 프로토콜(Protocol)과 HTTP-01 챌린지

ACME(Automatic Certificate Management Environment)는 SSL/TLS 인증서(Certificate)의 자동 발급, 갱신, 폐기를 위한 프로토콜이다. 도메인 소유권 검증(Domain Ownership Verification)을 위해 HTTP-01 챌린지를 사용하며, CA(Certificate Authority)는 `domain}/.well-known/acme-challenge/{token value}` 형식의 경로에서 검증 토큰(Validation Token)을 찾는다.

Cloudflare 환경: Cloudflare는 해당 경로에서 CA에 토큰을 제공하고, WAF(Web Application Firewall) 기능은 인증서 검증을 방해하지 않도록 비활성화

고객 오리진(Origin)으로 요청 전달: Cloudflare가 관리하지 않는 인증서 주문의 경우, 고객 오리진으로 요청을 전달하여 유연성(Flexibility) 확보

취약점 발생 원인 분석

취약점은 특정 요청 시 ACME 챌린지 토큰을 제공하는 로직에서 WAF 기능을 비활성화하는 과정에서 발생했다. Cloudflare는 유효한 ACME HTTP-01 챌린지 토큰에 대한 요청인 경우에만 WAF 기능을 비활성화해야 했지만, 그렇지 않은 경우에도 WAF가 비활성화되는 문제가 있었다.

문제 상황: Cloudflare가 관리하지 않는 인증서 주문에 대한 요청이 WAF 규칙을 거치지 않고 고객 오리진으로 전달

영향: 악의적인 공격자(Malicious Actor)가 WAF를 우회하여 공격을 시도할 수 있는 가능성

근본 원인: 잘못된 접근 제어(Access Control)로 인해 발생

취약점 완화 방법

Cloudflare는 해당 문제를 해결하기 위해 코드 변경을 배포했다. 이 변경 사항은 요청이 호스트 이름에 대한 유효한 ACME HTTP-01 챌린지 토큰과 일치하는 경우에만 보안 기능 집합을 비활성화하도록 수정했다.

수정 사항: 요청 경로 검증 강화를 통해 WAF 기능 비활성화 조건 개선

결과: Cloudflare 고객은 별도의 조치 없이 보안(Security) 강화 효과를 누림

추가 조치: 악의적인 공격에 악용된 사례는 아직 확인되지 않았으며, Cloudflare는 지속적인 보안 강화를 위해 노력

취약점 공개 및 투명성

Cloudflare는 외부 연구원(External Researchers)의 책임 있는 취약점 공개에 감사를 표하며, 커뮤니티의 지속적인 참여를 통해 보안 수준을 향상시키고자 한다. 또한, Cloudflare는 고객의 신뢰를 최우선으로 생각하며, 문제 발생 시 신속하고 투명하게 대응할 것을 약속했다.

투명성 강조: 취약점 공개(Vulnerability Disclosure) 및 신속한 대응을 통해 고객 신뢰 확보

지속적인 노력: Cloudflare는 보안을 최우선으로 고려하며, 지속적인 개선을 통해 안전한 플랫폼(Secure Platform) 구축

향후 계획: Cloudflare는 앞으로도 보안 강화를 위해 지속적으로 노력할 것이다.