Host Header 파싱 결함으로 인한 권한 우회 CVE-2026-48710 해결

Context

Starlette ASGI 프레임워크의 Host header 파싱 로직 결함으로 인한 Security Desynchronization 발생. 공격자가 Host header에 특수문자를 주입하여 ASGI 서버의 요청 경로와 애플리케이션 레벨의 파싱 경로를 불일치시키는 구조적 한계 노출.

Technical Solution

• 정규표현식 _HOST_RE 도입을 통한 Host header의 엄격한 문자열 검증 체계 구축
• /, ?, #, @ 등 Path-Poisoning 유발 문자를 사전에 차단하는 화이트리스트 방식 적용
• request.url 생성 시 유효하지 않은 Host header를 무시함으로써 scope['path']와의 일관성 확보
• Middleware 단계에서 request.url.path 대신 request.scope['path']를 참조하도록 권고하여 경로 해석의 단일 진실원(Single Source of Truth) 확보
• RFC 표준을 준수하는 Reverse Proxy 배치를 통한 1차 필터링 계층 강화