[분석가] 분석 — CVE-2026-34486

• 심각도 critical · CVSS 9.8 · EPSS 0.8116 · 악용난이도 easy · KEV

• 원리: CVE-2026-29146 패치 적용 후 발생한 회귀(Regression) 결함으로 인해 EncryptInterceptor가 정상적으로 작동하지 않고 우회되는 취약점입니다.
• 경로: 외부 공격자가 인증 없이 네트워크를 통해 특수하게 구성된 HTTP 요청을 전송하여 암호화 로직을 건너<0xEB><0x9C><0x81>니다.
• 단계: EncryptInterceptor 우회 $\rightarrow$ 민감 데이터의 평문 처리 및 노출 $\rightarrow$ 데이터 탈취.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 가져, 공격자가 네트워크를 통해 인증 없이도 낮은 복잡도로 공격을 수행할 수 있는 매우 높은 악용 가능성을 지닙니다. 특히 EncryptInterceptor 우회로 인해 민감 데이터가 암호화되지 않은 채 노출되는 구조이며, 이는 특정 엔드포인트의 파라미터나 요청 프로토콜 상에서 트리거될 가능성이 큽니다. 이론적 위험을 넘어 EPSS 점수가 0.8116으로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은 이미 야생(In-the-wild)에서 실제 공격이 관측되고 있음을 증명합니다. 따라서 공격자는 특수한 권한 없이도 외부 노출된 Apache Tomcat 서버의 취약한 인터셉터 로직을 타겟팅하여 데이터를 탈취할 수 있습니다. 결과적으로 낮은 진입 장벽과 실질적인 악용 사례의 존재로 인해, 방어자 관점에서의 공격 난이도는 'Easy' 수준으로 판단됩니다.

• 영향 제품 및 규모: Apache Tomcat 11.0.20, 10.1.53, 9.0.116 및 이를 포함하는 Red Hat JBoss Web Server, RHEL 계열 제품이 대상입니다. 다수 제품에 영향을 주는 공급망 특성상 노출 범위가 매우 광범위할 것으로 추정됩니다.
• 기술적 위험: CVSS 9.8(Critical) 및 C:H/I:H/A:H 벡터를 가집니다. 암호화되어야 할 인증 토큰, 세션 쿠키, 개인정보 등이 평문으로 노출되며, 이는 데이터 유출뿐만 아니라 무결성 훼손 및 서비스 가용성 저하로 이어질 수 있습니다.
• 비즈니스 리스크: 특히 결제 및 개인정보 전송 구간 등 EncryptInterceptor를 통해 컴플라이언스를 준수하던 서비스의 경우, 데이터 유출 시 GDPR 및 국내 개인정보보호법 위반에 따른 법적 과징금과 기업 신뢰도 하락 리스크가 매우 큽니다.
• 우선순위 판단 근거: 다중 소스 간 일관성이 확인(신뢰도 1.0)되었으며, KEV 등재 및 실측 EPSS 0.8116(백분위 0.99598)으로 실제 야생 악용 가능성이 최고 수준입니다. 이에 따라 조치 우선순위를 immediate(24시간 내)로 결정하였습니다.

• 연계 가능성: 이전 보안 패치의 부작용으로 발생한 결함입니다. 단독으로도 치명적이지만, 다른 인증 우회나 권한 상승 취약점과 체이닝될 경우 내부 민감 정보 탈취 속도가 가속화될 수 있습니다.

• 트래픽 분석: EncryptInterceptor 적용 엔드포인트로의 요청 중 암호화 시그니처가 누락되었거나 평문 데이터가 포함된 페이로드 유입을 WAF에서 모니터링합니다.
• 로그 및 지표 분석: TLS 종료 지점 이후의 로그에서 민감 파라미터를 중심으로 평문 기록 패턴을 확인하되, 오탐 방지를 위해 필터링 조건을 구체화해야 합니다. 또한 인터셉터 통과 전후의 HTTP 응답 바디 크기 변화를 통해 암호화 누락 여부를 간접 식별할 수 있을 것으로 추정됩니다.

• 근본 해결: 영향받는 버전을 즉시 업데이트하십시오. (11.0.21, 10.1.54, 9.0.117 이상)
• 즉시 조치: 패치가 불가능한 경우, EncryptInterceptor가 적용된 비즈니스 로직(결제, 개인정보 구간 등)의 인벤토리를 전수 조사하여 해당 엔드포인트를 격리하거나 WAF 룰을 적용하십시오. 인터셉터 단순 비활성화는 평문 데이터 노출 위험을 가중시키므로 권장하지 않습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.8116 · exploit=easy · in_scope=None