[Argus] CVE-2026-34573: Parse Server: GraphQL 복잡도 검증기의 지수적 조각 탐색 DoS 취약점

[LEEKIYOON-SEC]

🛡️ Parse Server: GraphQL 복잡도 검증기의 지수적 조각 탐색 DoS 취약점

탐지 일시: 2026-04-01 00:39:57 (KST)
탐지 사유: 신규 취약점

취약점 유형 (CWE): CWE-407

📦 영향 받는 자산

벤더	제품	버전
parse-community	parse-server	< 8.6.68 (단일 버전), >= 9.0.0, < 9.7.0-alpha.12 (단일 버전)

🔍 AI 심층 분석

항목	내용
기술적 원인	GraphQL 쿼리 복잡도 검증 로직이 binary fan‑out fragment spreads 를 충분히 제한하지 않아, 악의적인 쿼리로 인해 CPU 사용량이 급증하고 Node.js 이벤트 루프가 차단되는 구조적 결함이 존재한다. 이는 CWE‑407(비효율적인 알고리즘 복잡도)과 일치한다.
비즈니스 영향	CVSS 벡터에 따르면 기밀성(Confidentiality)과 무결성(Integrity)은 영향을 받지 않으며(N), 가용성(Availability)은 높음(H)으로 평가된다. 따라서 주요 비즈니스 영향은 서비스 가용성 손실이며, 단일 비인증 요청으로 Node.js 이벤트 루프가 수초간 차단되어 모든 사용자가 서비스 이용이 불가능해지는 서비스 거부(DoS) 상황이 발생한다. 이는 제공된 설명과 일치한다.

🏹 공격 벡터 상세

항목	내용
공식 벡터	CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
상세 분석	• CVSS:4.0 • 공격 경로: 네트워크 (Network) • 복잡성: 낮음 • 공격 기술: 존재(Present) • 필요 권한: 없음 • 사용자 관여: 없음 • 취약시스템 기밀성: 없음 • 취약시스템 무결성: 없음 • 취약시스템 가용성: 높음 • 후속시스템 기밀성: 없음 • 후속시스템 무결성: 없음 • 후속시스템 가용성: 없음

🏹 AI 예상 공격 시나리오

MITRE ATT&CK 기반 공격 흐름:
초기 접근(Initial Access) – 공격자는 네트워크를 통해 인증되지 않은 GraphQL 요청을 전송한다 (T1190: Exploit Public-Facing Application). [추정]
실행(Execution) – 파싱 서버는 전달된 복잡한 쿼리를 처리하면서 복잡도 검증 로직을 실행하고, 이 과정에서 과도한 CPU 사용이 발생한다 (T1647: Exploitation for Impact). [추정]
영향(Impact) – 이벤트 루프가 차단되어 서비스가 중단되고 모든 동시 사용자가 서비스 이용이 불가능해진다 (T1499: Endpoint Denial of Service). [추정]

🛡️ AI 권고 대응 방안

• 8.6.68 이상으로 parse‑server를 업데이트한다.
• 9.7.0-alpha.12 이상으로 parse‑server를 업데이트한다.
• requestComplexity.graphQLDepth 및 requestComplexity.graphQLFields 옵션을 비활성화하거나 허용 가능한 복잡도 한도를 낮춘다.
• 공급업체 보안 권고(GHSA‑mfj6‑6p54‑m98c)를 참고하여 최신 보안 패치를 적용한다.

📋 탐지 룰 현황

ℹ️ AI SKIP: 익스플로잇 근거 부족
공개 룰 저장소(SigmaHQ, ET Open, Yara-Rules)만 검색되었습니다.

Sigma Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

Snort/Suricata Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

Yara Rule ❌ 미생성

사유: 공개 룰 미발견, AI 생성 실패

🔗 참고 자료

• GHSA-mfj6-6p54-m98c
• fix: GraphQL complexity validator exponential fragment traversal DoS (GHSA-mfj6-6p54-m98c) parse-community/parse-server#10344
• fix: GraphQL complexity validator exponential fragment traversal DoS (GHSA-mfj6-6p54-m98c) parse-community/parse-server#10345
• parse-community/parse-server@ea15412
• parse-community/parse-server@f759bda