[분석가] 분석 — CVE-2026-16723

• 심각도 critical · CVSS 9.0 · EPSS 0.00413 · 악용난이도 hard

fastjson의 JSON.parseObject()가 외부 입력을 그대로 역직렬화하도록 호출될 경우, 공격자는 조작된 JSON 문자열에 임의 클래스를 포함시켜 메모리 내에서 코드를 실행한다. 기본 설정(자동 타입 활성화 필요 없음)에서도 클래스패스 가젯 없이 RCE가 가능하므로, 입력 검증이 전혀 이루어지지 않은 API 엔드포인트가 직접적인 진입점이 된다. 내부 DB·메시지 큐에 저장된 데이터가 역직렬화되는 경우도 2차 전파 경로가 될 수 있다.

악용 가능성: AV:N(네트워크) 기반이므로 공격자는 원격에서 직접 패킷을 전송해 취약한 서비스를 노릴 수 있지만, AC:H(높은 난이도)로 설정돼 있어 성공적인 악용을 위해서는 정교하게 조작된 JSON 페이로드와 정확한 클래스 구조를 사전에 파악해야 합니다. PR:N(특권 없음)과 UI:N(사용자 상호 작용 없음) 덕분에 권한 상승이나 사용자의 클릭이 요구되지 않으나, 복잡한 객체 그래프를 구성하는 데 필요한 가이드라인을 확보하기가 어렵습니다. EPSS=0.00413이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 실제 악용 사례가 거의 보고되지 않았으며, 공격자가 이를 활용해 대규모 캠페인을 진행할 가능성이 제한적임을 의미합니다. 트리거 조건은 fastjson 1.2.68‑1.2.83 버전을 사용하면서 AutoType이 기본 비활성화된 상태에서도 특정 JSON 문자열을 전송하면 RCE가 발생한다는 점입니다. 따라서 공격 표면은 FastJSON을 백엔드 파서로 사용하는 모든 HTTP/HTTPS 엔드포인트, 메시지 큐 또는 RPC 인터페이스와 같이 외부에서 JSON 입력을 받을 수 있는 서비스에 존재합니다. 이러한 엔드포인트가 노출될 경우, 정밀하게 설계된 페이로드를 전송함으로써 원격 코드 실행이 가능하지만, 실제 공격 구현에는 높은 기술적 장벽이 따릅니다.

• 기술적 위험
  • 성공 시 원격 코드 실행(RCE) → 시스템 장악, 임의 명령 실행, 악성 프로그램 설치.
  • 프로세스 메모리 조작을 통해 서비스 중단(Denial‑of‑Service) 가능.
  • 동일 호스트 내 다른 애플리케이션으로 횡적 이동이 이론적으로 가능하지만, 추가 권한 상승 단계가 필요함.
• 비즈니스 리스크
  • 가용성 손실: 핵심 서비스가 침해당하면 운영 중단 및 복구 비용 발생.
  • 규제·컴플라이언스 위반: 민감 데이터(예: 개인 정보)가 외부에 유출될 경우 GDPR, 개인정보보호법 등 법적 제재 위험.
  • 신뢰도 하락: 고객·파트너에게 보안 사고가 알려지면 브랜드 이미지 손상.
• 영향 제품·노출 규모
  • 영향 제품이 “미상”이며, fastjson을 내부 라이브러리로 사용하는 모든 Java 애플리케이션에 적용된다(버전 1.2.68‑1.2.83).
  • 다중 소스 교차검증 결과 일관성이 확인돼(교차검증) 해당 범위가 확정적임.

• 동일 라이브러리의 이전 버전에서 보고된 CWE‑502 (인젝션 via Deserialization) 계열 취약점과 유사하게, 공격자는 다른 역직렬화 가젯(예: Commons Collections)과 결합해 우회할 수 있다.
• 현재 확인된 별도 CVE 번호는 없으며, 기존 RCE 경로와 연계되는 CWE‑20 (Input Validation) 문제를 함께 고려해야 함.

• 애플리케이션 로그에 JSON.parseObject 호출 시 비정상적인 JSON 구조(예: "@type" 필드가 없는 경우에도 클래스 이름이 포함된 문자열) 기록 여부.
• WAF/IPS에서 fastjson 역직렬화 패턴(\b@type\b)을 탐지하는 서명 적용.
• 프로세스 메모리 혹은 JVM 레벨에서 비정상적인 클래스 로딩 이벤트(예: sun.reflect를 통한 동적 클래스 정의) 모니터링.

1. 즉시 조치
   • 외부 입력이 직접 전달되는 JSON.parseObject() 호출 지점을 식별하고, 입력 검증(화이트리스트 기반 스키마) 또는 파라미터 차단을 적용한다.
   • WAF/IPS에 fastjson 역직렬화 서명을 배포해 의심 트래픽을 차단한다.
2. 근본 해결
   • fastjson 1.2.84 이상으로 업그레이드하거나, 해당 라이브러리를 사용 중인 모든 애플리케이션에서 최신 버전으로 교체한다.
   • 코드베이스 전반에 걸쳐 역직렬화 입력 경로를 재검토하고, 가능한 경우 JSON.parseObject 대신 안전한 파싱 API(예: Jackson after‑burner 없이)로 마이그레이션한다.
3. 추가 방어
   • 정적·동적 분석을 통해 내부 DB/메시지 큐에 저장된 JSON 데이터가 역직렬화되는 지점을 식별하고, 해당 경로에도 동일한 검증 로직을 적용한다.
   • 보안 패치 배포 후 EPSS 0.00413 수준의 실제 악용 가능성을 재평가하고, CVSS 9.0·critical 등급에 따라 이번 주 내(우선순위 scheduled) 대응 일정을 확정한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.0 · non-KEV · EPSS=0.00413 · exploit=hard · in_scope=None