오픈토푸 1.12.6/1.11.14 보안 릴리스 - OCI 인증정보 유출과 init 자원 고갈 수정

1. 개요
테라폼 포크인 오픈토푸(OpenTofu)가 2026년 8월 19일 보안 패치 두 종을 공개했습니다. 유지 중인 두 계열에 각각 1.12.6과 1.11.14가 나왔고, 두 릴리스 모두 같은 취약점 2건을 수정합니다. 특히 1.11.14는 1.11 계열의 마지막 패치라고 못박았습니다. 릴리스 노트에 별도 CVE 번호는 표기되지 않았습니다.

2. 내용
수정된 항목은 다음 두 가지입니다.

• 모듈이나 프로바이더를 OCI 배포(Distribution) 레지스트리에서 설치할 때, HTTP 리다이렉트가 걸리면 원래 출처(origin)로 보내야 할 인증정보가 리다이렉트 대상으로 그대로 다시 전송될 수 있었습니다. 즉 인증정보가 의도치 않은 호스트로 새어 나갈 수 있습니다.
• 공격자가 통제하는 원격 상태(state) 백엔드나 레지스트리를 상대로 tofu init을 실행하면, API 응답에 담긴 조작된 상대 URL을 처리하는 과정에서 CPU와 메모리 사용량이 비정상적으로 치솟을 수 있었습니다. 사실상 자원 고갈(DoS) 경로입니다.

3. 원인/맥락
두 건 다 외부에서 받아오는 응답을 그대로 신뢰한 데서 비롯합니다. 리다이렉트 대상이 바뀌었는데 인증 헤더를 재사용하는 문제, 그리고 응답에 들어온 상대 URL을 검증 없이 해석하는 문제입니다. 오픈토푸는 최근 OCI 레지스트리로 모듈과 프로바이더를 배포하는 기능을 밀고 있어서, 사설 레지스트리에 자격증명을 걸어 쓰는 환경이라면 첫 번째 항목이 특히 부담이 됩니다. init 단계는 CI 파이프라인에서 매번 도는 구간이라 두 번째 항목도 무시하기 어렵습니다.

4. 해결책
1.12 계열은 1.12.6, 1.11 계열은 1.11.14로 올리면 됩니다. 다만 1.11은 이번이 마지막 패치이므로 상위 계열로 넘어가라는 권고가 함께 붙었습니다. 아직 1.11을 쓰고 있다면 업그레이드 계획을 세워두는 편이 좋아 보입니다. 사설 OCI 레지스트리나 원격 상태 백엔드를 CI에서 직접 물어 쓰는 조직이라면 우선순위를 높게 두고 반영하는 것을 권합니다.

🔗 https://github.com/opentofu/opentofu/releases/tag/v1.12.6

🔗 https://github.com/opentofu/opentofu/releases/tag/v1.11.14