[공격] 분석 — CVE-2026-34486

• 심각도 high · CVSS 7.5 · EPSS 0.42627 · 악용난이도 easy · KEV

• 공격 표면: EncryptInterceptor가 적용된 모든 HTTP/HTTPS 엔드포인트(예: /login, /api/*, /admin/*).
• 정찰 단계
  • 서버 배너(Server: Apache-Coyote/...)와 Tomcat Manager 페이지(/manager/html)를 통해 취약 버전(11.0.20, 10.1.53, 9.0.116) 여부를 확인합니다. (CVSS AV:N)
• 트리거 조건
  • EncryptInterceptor는 특정 플래그/헤더가 존재하면 암호화 로직을 건너뛰도록 구현되어 있습니다. 공개된 파라미터 명은 없으므로 추정: encrypt=false, X‑Encrypt: off 와 같은 값이 포함된 요청이면 우회가 발생합니다.
• 초기 접근 (PR:N, AC:L, UI:N)
  • 위 플래그를 담은 GET/POST 요청을 인증 없이 전송하면 인터셉터가 비활성화되고, 원래 암호화되어야 할 민감 필드(비밀번호, 세션 토큰, DB 연결 문자열 등)가 평문으로 반환됩니다.
• 실행·권한 획득
  • 응답 본문에서 탈취한 인증 정보·키를 이용해 내부 서비스에 재접속하거나 LDAP 바인드 등을 수행합니다.
• 지속 단계
  • 탈취된 비밀을 활용해 지속적인 API 호출, 세션 하이재킹, 혹은 추가 취약점(예: Broken Authentication)과 결합해 권한 상승을 시도합니다.
• 영향 (C:H)
  • 기밀성 전면 손실 → 탈취된 비밀번호·키로 다른 시스템 침투 및 데이터 변조 가능.

CVSS 3.1 벡터 AV:N/AC:L/PR:N/UI:N 은 네트워크만 접근 가능하고, 복잡한 사전 작업 없이 단일 요청으로 악용이 가능한 상황을 그대로 반영합니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 정의된 바와 같이 네트워크를 통해 바로 접근할 수 있으며, 공격 복잡도가 낮고 인증·사용자 개입 없이도 악용이 가능합니다. EPSS 값 0.42627(≈42 %) 은 실제 환경에서 약 4 명 중 1 명이 이 결함을 이용해 성공할 확률을 의미하고, KEV 에 등재된 점은 과거에도 동일한 방식으로 실전 공격이 보고되었음을 보여줍니다. Apache Tomcat 의 EncryptInterceptor 가 적용되는 모든 HTTP 엔드포인트(예: /login, /api/submit 등)에서 민감 데이터가 암호화되지 않은 채 전송·저장될 경우, 공격자는 해당 요청을 그대로 전송하거나 중간에 패킷을 탈취해 평문 데이터를 획득할 수 있습니다. 엔드포인트는 기본적으로 공개된 포트 8080(또는 8443) 에 바인딩되어 있어 외부에서 직접 접근이 가능하므로, 초기 정찰 단계 없이도 바로 탐색·시도‑실행 단계로 넘어갈 수 있습니다. 이때 필요한 전제조건은 대상 서버가 취약 버전(9.0.116 / 10.1.53 / 11.0.20) 을 실행 중이며, 암호화 로직을 우회하도록 설계된 요청 파라미터를 제공할 수 있다는 점뿐입니다. 따라서 공격 난이도는 “easy” 로 평가되며, 실제 악용 가능성은 높은 편에 속합니다.

• 민감 데이터(관리자 계정·API 키·DB 인증서 등)가 평문으로 노출되어 기밀성이 완전히 손상됩니다.
• 탈취된 자격 증명을 이용해 내부 시스템에 무단 접근하거나 권한 상승이 가능해지며, 결과적으로 서비스 중단·데이터 변조·추가 침투 위험이 발생합니다.

• 유형: Missing Encryption (CWE‑??, 미분류) → 민감 정보 노출.
• 가능한 체인
  • Missing Encryption → 탈취된 인증 정보로 Broken Authentication 또는 Insecure Direct Object Reference 활용 → 추가 시스템 침투.
  • 세션 토큰 노출 → 세션 하이재킹 → 권한 상승·임의 명령 실행.
• 현재 동일 CVE 번호가 다른 취약점과 직접 연결된 사례는 보고되지 않았으며, 위와 같은 일반적인 기밀성‑인증‑권한 상승 흐름이 주요 위험 패턴입니다.

• 웹 서버 로그에 encrypt=false, X-Encrypt: off 와 유사한 파라미터·헤더가 포함된 요청이 기록되는 경우.
• 동일 엔드포인트에서 응답 바디 크기가 평소보다 급격히 감소하거나, 암호화 전후 데이터량 차이가 나타나는 패턴.
• 애플리케이션 로그에 “EncryptInterceptor disabled” 혹은 “Encryption bypassed” 와 유사한 경고가 출력되는 경우.
• TLS 종료 직후 내부 로깅(SIEM)에서 평문 민감 필드(예: password=, token=)가 기록되는 현상.

1. 즉시 패치 – Tomcat 11.0.21, 10.1.54 또는 9.0.117 로 업그레이드합니다. (다중 소스에서 일관된 보고와 EPSS 0.42627이 높은 실제 악용 가능성을 강조함)
2. 패치를 적용할 수 없는 경우 web.xml 에서 EncryptInterceptor 필터를 비활성화하고, 애플리케이션 레벨에서 AES/HMAC 등 별도 암호화를 강제합니다.
3. 탈취된 비밀(비밀번호·API 키·DB 인증서 등)을 전부 재발급·교체하고, 관련 계정 비밀번호를 즉시 변경합니다.
4. 네트워크 경계에서 Tomcat 관리 포트와 HTTP/HTTPS 엔드포인트에 대한 접근 제어를 강화하고, WAF 규칙으로 추정되는 우회 플래그가 포함된 요청을 차단합니다.
5. TLS 종료 지점 이후 평문 로그 수집을 최소화하고, 민감 필드가 로깅되지 않도록 로깅 레벨 및 마스킹 정책을 적용합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.42627 · exploit=easy · in_scope=None