[단독분석] 분석 — CVE-2026-34486

• 심각도 high · CVSS 7.5 · EPSS 0.42627 · 악용난이도 easy · KEV

• 원리: 이전 취약점(CVE-2026-29146)의 수정 사항으로 인해 EncryptInterceptor가 정상적으로 작동하지 않고 우회되는 회귀(Regression) 결함입니다.
• 경로 및 단계: 공격자가 네트워크를 통해 인증 없이(PR:N) 조작된 HTTP 요청을 전송하면, 인터셉터의 암호화 로직이 누락되어 민감 데이터가 평문으로 처리되거나 노출됩니다.
• 특징: 낮은 공격 복잡도(AC:L)와 사용자 상호작용 불필요(UI:N) 특성상 외부로 노출된 Tomcat 엔드포인트를 대상으로 한 직접적인 타겟팅이 매우 용이합니다.

악용 가능성: 본 취약점은 Apache Tomcat의 EncryptInterceptor 우회로 인해 민감 데이터가 암호화되지 않은 채 노출되는 결함으로, 공격 난이도는 매우 낮습니다(Easy). CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯, 인증이나 사용자 상호작용 없이 네트워크를 통해 누구나 접근 가능한 상태에서 낮은 복잡도로 트리거될 수 있습니다. 특히 KEV에 등재되어 실제 야생(In-the-wild) 악용 사례가 확인되었으며, EPSS 수치가 0.42627로 매우 높아 이론적 위험을 넘어 실질적인 공격 가능성이 극도로 높은 상태입니다. 공격 표면은 EncryptInterceptor가 적용된 엔드포인트와 해당 인터셉터를 우회하여 민감 데이터에 접근할 수 있는 HTTP 요청 파라미터 및 프로토콜 경로에 집중됩니다. 결과적으로 공격자는 특수하게 조작된 요청을 통해 암호화 메커니즘을 무력화함으로써 서버 내의 민감 정보를 평문으로 탈취할 수 있습니다.

• 영향 범위 및 규모: Apache Tomcat(11.0.20, 10.1.53, 9.0.116)뿐만 아니라 Red Hat JBoss Web Server, RHEL 등 다수의 제품군에 영향을 미칩니다. 공급망 라이브러리 특성상 영향 범위가 매우 광범위할 것으로 추정됩니다.
• 기술적 위험: Missing Encryption of Sensitive Data 결함으로 인해 기밀성(C:H)이 심각하게 침해됩니다. 암호화되어야 할 데이터가 평문으로 노출되므로, 시스템 내 저장된 민감 정보나 전송 중인 핵심 데이터의 무단 탈취가 가능합니다.
• 비즈니스 리스크:
  • 데이터 유출: 사용자 개인정보 및 인증 정보 등 기밀 자산의 유출 위험이 존재합니다.
  • 컴플라이언스 위반: 암호화 의무를 규정한 보안 표준(GDPR, ISMS-P 등) 준수 실패로 인한 법적 책임 및 과징금 발생 가능성이 있습니다.

• 연계성: CVE-2026-29146의 패치 적용 과정에서 발생한 회귀 취약점으로, 보안 수정 사항이 새로운 취약점을 유발한 사례입니다.

• 버전 식별: 영향 범위 내 버전(11.0.20, 10.1.53, 9.0.116) 사용 여부를 전수 조사합니다.
• 패턴 모니터링: EncryptInterceptor 우회를 유도하는 비정상적인 HTTP 요청 패턴을 WAS Access Log 및 Application Log에서 분석하여 탐지합니다.

• 근본 해결 (Immediate): 다중 소스 데이터 일관성이 확인되었으며, 특히 KEV 등재(실제 악용 확인)와 실측 EPSS 0.42627(백분위 0.9858)이라는 매우 높은 악용 예측 수치를 근거로 24시간 내 즉시 업데이트를 권고합니다.
  • Tomcat 11.0.20 $\rightarrow$ 11.0.21 / 10.1.53 $\rightarrow$ 10.1.54 / 9.0.116 $\rightarrow$ 9.0.117
• 임시 조치: 패치 적용 전까지 외부에서 내부 WAS로의 직접 접근을 제한하는 네트워크 ACL 및 WAF 정책 강화를 검토하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.42627 · exploit=easy · in_scope=None