[단독분석] 분석 — CVE-2026-34486

• 심각도 high · CVSS 7.5 · EPSS 0.42627 · 악용난이도 easy · KEV

공격자는 네트워크를 통해 인증·세션 정보가 포함된 HTTP 요청을 특수하게 조작해 EncryptInterceptor 를 우회합니다. 이 우회가 성공하면 민감 데이터가 암호화되지 않은 평문으로 처리되어 전송됩니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)와 EPSS 0.42627, KEV 등재를 고려할 때 별도의 권한·사용자 동작 없이 원격에서 쉽게 악용될 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 공격자가 네트워크를 통해 직접 접근 가능한 Tomcat 엔드포인트에 특수 요청을 보내면 별도의 인증이나 사용자 동작 없이 취약점을 이용할 수 있음을 의미합니다. EPSS 0.42627이라는 실측값은 향후 12개월 내에 약 42 % 확률로 실제 악용이 발생할 가능성을 보여주며, KEV 목록에 등재된 점과 일치하여 이미 야생에서 관측된 위협임을 뒷받침합니다. 이 취약점의 공격 표면은 EncryptInterceptor가 적용되는 모든 HTTP/HTTPS API(예: /api/*, /service/*)이며, 해당 인터셉터는 민감 데이터 암호화를 담당하는 필터 단계에서 호출됩니다. 트리거 조건은 공격자가 특정 헤더나 파라미터 값을 조작해 EncryptInterceptor가 암호화 과정을 우회하도록 만드는 것으로, 별도의 권한이 필요하지 않습니다. 영향을 받는 제품군(Apache Tomcat 11.0.20, 10.1.53, 9.0.116)은 네트워크에 노출된 경우 AV:N 조건을 그대로 만족하므로 내부망이라 하더라도 침투 후 피벗을 통해 쉽게 악용될

• 기술적 위험
  • EncryptInterceptor 우회 시 Authorization 헤더, 세션 쿠키, 폼 파라미터 등 민감 데이터가 TLS 적용 여부와 관계없이 평문으로 전송됩니다. 이는 네트워크 스니핑을 통해 기밀성이 손실되는 상황을 초래합니다. 서비스 가용성이나 시스템 장악·횡적 이동에는 직접적인 영향을 주지 않습니다.
• 비즈니스 위험
  • 개인정보보호법·GDPR 등 규제 위반 시 과징금 및 법적 책임이 발생할 수 있습니다.
  • 고객 데이터 유출로 인한 신뢰도 저하와 브랜드 이미지 손상이 예상됩니다.
  • 사고 대응 비용(포렌식, 통지, 보완 작업)과 추가적인 보안 강화 투자 부담이 증가합니다.
• 영향 제품·노출 규모
  • 영향을 받는 Apache Tomcat 버전은 9.0.116, 10.1.53, 11.0.20이며, 다중 소스 교차검증(신뢰도 1.0)으로 일관성이 확인되었습니다.
  • Red Hat JBoss Web Server, Red Hat Enterprise Linux 및 해당 Linux EL S 제품군에서도 Tomcat 라이브러리를 포함하고 있어 공급망 차원의 영향을 받을 가능성이 높습니다(품질 신호: 영향 제품 8개).

본 취약점은 CVE-2026-29146 패치 과정에서 도입된 로직 오류와 연계되어 EncryptInterceptor 를 우회할 수 있게 된 점이 핵심 원인입니다. TLS가 비활성화된 환경이나 추가적인 암호화 필터가 부재한 경우, 데이터 유출 위험이 더욱 증대될 수 있습니다.

• Tomcat 로그에 “EncryptInterceptor disabled” 또는 “Encryption bypassed” 경고가 반복적으로 기록되는 경우.
• IDS/IPS에서 Authorization·Session‑ID 등 민감 파라미터가 TLS 없이 평문 HTTP 요청으로 전송되는 트래픽을 감지.
• 구성 검사 도구가 해당 Tomcat 버전에서 EncryptInterceptor 가 비활성화된 설정을 보고할 때 경고 발생.

• 즉시 조치: 영향을 받는 인스턴스를 식별하고 9.0.117, 10.1.54 또는 11.0.21 버전으로 즉시 업그레이드합니다(우선순위 immediate).
• 구성 보강: 전역 TLS(HTTPS) 적용을 강제하고, 필요 시 EncryptInterceptor 를 명시적으로 활성화하거나 대체 암호화 메커니즘을 도입합니다.
• 모니터링: 위 탐지 지표를 SIEM에 연동하여 실시간 알림을 설정하고 기존 로그에 대한 사후 분석을 수행합니다.
• 장기 방어: 정기적인 패치 관리 프로세스와 취약점 스캐닝을 통해 신규 CVE 발생 시 신속히 대응할 수 있는 체계를 구축합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.42627 · exploit=easy · in_scope=None