CVE-2026-88861

요약

Capgo(Cap-go/capgo.app)에는 모든 버전에 영향을 미치는 인증 우회 취약점이 존재합니다(게시 시점 기준 패치된 버전 없음). Edge 권한 부여 경로는 비밀번호만 사용하는 Supabase aal1 세션이, 해당 계정에 세션에서 사용되지 않은 검증된 MFA 요소가 있음에도 불구하고, 특권 RBAC 권한을 행사할 수 있도록 허용합니다. Edge JWT 미들웨어(supabase/functions/_backend/utils/hono_middleware.ts의 foundJWT())는 JWT의 보증 수준(assurance level)을 검증하지 않고 수용하며, 직접 RBAC 경로(supabase/functions/_backend/utils/rbac.ts의 checkPermission()/checkPermissionPg()가 public.rbac_check_permission_direct()를 호출)는 세션 aal을 전달하거나 확인하지 않고 사용자 ID로 권한을 부여합니다. 이는 올바르게 aal2를 요구하는 public.verify_mfa() 제어와 대조됩니다. 따라서 피해자의 비밀번호만 알고 있는 공격자는 인증하고, aal1 세션이 로그아웃된 후에도 유효하게 유지되는 영구적인 앱 범위 app_admin API 키를 발급하며, 프로덕션 OTA 채널 구성을 수정하는 등의 특권 작업(공개 프로덕션 채널을 번들 1.0.0에서 1.0.1로 변경하여 검증됨)을 수행할 수 있어, MFA가 제공하는 보호를 무력화합니다.

• secdim-assurance-drift-challengePoC

  SecDim Challenge Builder 재현(CVE-2026-88861 기반): 권한 있는 자격 증명 경계에서의 AAL1 MFA 우회