CVE-2026-0323: Checkov by Prisma Cloud 외부 Terraform 모듈 SSRF 취약점 점검

Checkov by Prisma Cloud에 서버 측 요청 위조(SSRF) 취약점 CVE-2026-0323가 Palo Alto Networks 보안 권고로 공개됐다. 노출 조건이 비교적 뚜렷하게 적혀 있는 취약점이라, 대응의 출발점은 버전 확인과 우리 환경이 그 조건에 해당하는지를 가르는 작업이다.

개요

CVE-2026-0323은 Palo Alto Networks Checkov by Prisma Cloud의 서버 측 요청 위조 취약점이다. 제조사 권고에 따르면 인증되지 않은 로컬 사용자가 검사 호스트에서 내부 서비스로 승인되지 않은 네트워크 요청을 발생시킬 수 있다.

버전 경계는 제조사 권고의 Product Status 표에 근거한다. 이 표는 Checkov by Prisma Cloud 3.4.2 미만을 영향받는 버전으로, 3.4.2 이상을 영향받지 않는 버전으로 구분한다.

이 취약점은 다음 두 조건이 겹치는 설치에만 적용된다는 것이 같은 권고에 적혀 있다.

• Checkov가 외부 Terraform 모듈을 다운로드하도록 설정된 경우
• 신뢰할 수 없는 출처의 Terraform 구성을 검사하는 경우

조건이 성립하지 않는 설치는 권고상 노출 대상이 아니다. 반대로 조건이 성립한다면 버전 표만 보고 넘길 문제가 아니다. 같은 버전이라도 검사 대상의 신뢰도와 검사 호스트의 내부 서비스 접근 범위에 따라 실제 위험도는 달라진다.

영향 범위

첫 번째 조건인 외부 Terraform 모듈 다운로드는 Checkov CLI의 --download-external-modules 옵션과 환경변수 DOWNLOAD_EXTERNAL_MODULES로 제어되는 기능이다. 공개 Git 저장소와 Terraform 레지스트리에서 모듈을 가져오는 용도이며(CLI 명령어 참조), 실제로 이 기능이 켜져 있는지가 노출 판단의 첫 갈림길이 된다.

두 번째 조건은 각 환경의 콘텐츠 유입 경로를 봐야 판단된다. 제공된 근거는 어떤 저장소나 파이프라인이 신뢰할 수 없는 출처에 해당하는지를 특정하지 않는다. 따라서 공용 저장소의 코드를 검사하는지, 외부에서 제안된 변경을 검사하는지 같은 자체 질문으로 바꿔 확인해야 한다.

영향의 크기는 검사 호스트가 내부 서비스 어디까지 닿을 수 있는가에 따라 달라진다. 권고가 확인하는 범위는 호스트에서 내부 서비스로 향하는 승인되지 않은 네트워크 요청까지이며, 그 응답으로 어떤 정보가 유출되는지나 내부 서비스에 미치는 영향은 제공된 근거로 확인되지 않았다. 도달 가능성은 확인됐고, 도달 이후의 결과는 확인되지 않은 상태다.

악용 상황도 같은 기준으로 읽는다. 현재 근거만으로는 실제 악용 사례나 공개 개념 증명(PoC)의 존재를 확인할 수 없다. 다만 확인되지 않았다는 사실은 악용되지 않는다는 뜻이 아니다. 노출 조건을 충족하는 환경에서는 미확인 상태를 전제로 판단하는 편이 안전하다.

기술적 분석

근거가 설명하는 범위에서 동작을 이어보면 이렇다. Checkov는 외부 Terraform 모듈을 다운로드하도록 설정될 수 있고, 그 상태로 신뢰할 수 없는 출처의 Terraform 구성을 검사할 수 있다. 두 조건이 갖춰진 설치에서 인증되지 않은 로컬 사용자가 호스트를 경유하는 내부 서비스 요청을 유발할 수 있다는 것이 권고의 핵심 문장이다.

세부 원인은 확인되지 않았다. 제공된 근거는 SSRF를 유발하는 구체적인 입력 형식이나 내부 처리의 결함 지점을 설명하지 않는다. 따라서 어떤 HCL 구문이 요청으로 이어지는지는 근거 있게 말할 수 없고, 서명이나 패턴 기반의 판단 기준도 제시된 것이 없다.

공격 주체와 노출 조건은 권고에서 서로 다른 문장으로 주어진다. 공격 주체는 검사 호스트상의 인증되지 않은 로컬 사용자로 명시된다. 노출 조건은 외부 모듈 다운로드 설정과 신뢰할 수 없는 Terraform 구성 검사라는 설치 환경의 두 속성을 적는다. 두 문장을 하나의 인과로 묶어 어디가 공격 진입점인지를 추가로 주장할 근거는 제공되지 않았다. 로컬 사용자 요건이 각 환경에서 어떻게 성립하는지 또한 근거의 범위를 벗어난다.

운영 관점에서 점검 범위는 노출 조건의 두 속성으로 정리할 수 있다.

• 검사 호스트의 내부 서비스 접근 범위: 이 호스트가 내부 서비스와 닿아 있는가. 접근 범위가 좁다면 확인된 요청 위조의 결과도 그만큼 제한적일 수밖에 없다.
• 검사 대상의 신뢰도: 이 호스트가 신뢰할 수 없는 출처의 Terraform 구성을 검사하는가. 아니라면 노출 조건은 성립하지 않는다.

탐지 방향은 확인된 영향에서 도출할 수 있다. 검사 호스트에서 내부 서비스로 향하는 예상하지 못한 네트워크 요청을 확인하는 것이 현재로선 현실적인 점검이다. 이는 확인된 SSRF 영향에 근거한 방향 제안이며, 제공된 근거에 특정 탐지 규칙이나 침해 지표가 제시된 것은 아니다.

대응 방안

지금 확인해야 할 것

• 설치된 Checkov by Prisma Cloud 버전이 제조사 Product Status 기준으로 3.4.2 미만인지 확인한다.
• 외부 모듈 다운로드 기능, 즉 --download-external-modules 옵션이나 DOWNLOAD_EXTERNAL_MODULES 환경변수가 활성화된 상태인지, 실행 시점에 어떤 값이 적용되는지 확인한다.
• 이 호스트가 신뢰할 수 없는 출처의 Terraform 구성을 검사하는지 확인한다.

버전이 3.4.2 미만이면서 두 노출 조건이 모두 성립하는 환경이 우선 검토 대상이다. 노출 조건 중 하나라도 성립하지 않으면 권고상 노출 대상이 아니고, 3.4.2 이상은 영향받지 않는 버전으로 분류된다.

수정 버전을 배포하기 전까지

CVE 기록은 수정 버전이 배포되기 전까지 두 가지를 권고한다. 신뢰할 수 없는 콘텐츠에 Checkov를 실행하지 말고, 검사 디렉터리에서 구성이 자동으로 불러와지게 하지 말고 신뢰할 수 있는 구성 파일을 명시적으로 전달하라는 것이다(CVE 기록).

항구 조치

영향받는 설치는 영향받지 않는 버전으로 분류된 3.4.2 이상으로 업데이트한다. 업데이트와 검사 절차 변경은 운영 환경에서 검증한 뒤 적용하고, 아울러 신뢰할 수 없는 콘텐츠 검사 여부와 구성 파일의 관리 방식을 함께 점검한다.

이 글이 말하지 못하는 것

• 요청이 내부 서비스로 이어지는 구체적 입력과 처리 경로는 확인되지 않았다.
• 실제 악용 여부, 공개 PoC, 독립적인 기술 검증은 제공된 근거로 확인할 수 없다.
• 구체적인 탐지 로그와 침해 지표, 버전 업데이트에 따른 호환성 정보도 근거에 없다.

참고자료

• CVE-2026-0323 Checkov by Prisma Cloud: Server-Side Request Forgery Vulnerability
• CVE-2026-0323 CVE Record
• CLI Command Reference

함께 읽으면 좋은 글

• CVE-2026-120006: .NET Aspire Dashboard 인증 쿠키 노출과 개발자 권한 코드 실행
• CVE-2026-109481: ASP.NET Core Blazor/SignalR 교차 사이트 요청으로 인한 권한 상승 분석
• CVE-2026-120012: SAP Cloud SDK for AI 인증 정보 오류 메시지 노출 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.