[CVE] CVE-2026-40994 (CVSS 8.2 · 높음) [CWE-1188]

핵심 요약

Spring Web Services의 Wss4jSecurityInterceptor 컴포넌트에서 CVE-2026-40994 취약점(CVSS 8.2)이 발견되었습니다. 이 취약점은 WS-I Basic Security Profile(BSP) 준수 플래그를 잘못 초기화하여, WS-Security를 검증하는 서비스가 BSP 규칙을 위반하는 메시지를 수락하게 함으로써 프로토콜 수준의 검증을 약화시킵니다. 이는 서비스 간 통신 무결성 및 보안 정책 적용에 심각한 영향을 미칠 수 있습니다. IT 감사인은 조직 내 Spring Web Services 사용 현황을 파악하고, 해당 취약점에 노출된 시스템이 있는지 긴급 점검하여 서비스 무결성 저하 및 잠재적 보안 위협에 대비해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치조직 내 Spring Web Services를 사용하는 모든 시스템에 대해 CVE-2026-40994 취약점의 영향을 받는 버전(5.0.0~5.0.1, 4.1.0~4.1.3, 4.0.0~4.0.18, 3.1.0~3.1.8)을 즉시 확인하고, 최신 보안 패치가 적용된 버전으로 업그레이드할 것을 권고함.
• ✔기술적 조치WS-Security를 사용하는 서비스의 경우, Wss4jSecurityInterceptor의 BSP(WS-I Basic Security Profile) 준수 여부를 재확인하고, 프로토콜 수준의 메시지 검증 로직이 올바르게 작동하도록 설정을 강화할 것을 권고함.
• ✔관리적 조치소프트웨어 개발 생명주기(SDLC) 전반에 걸쳐 시큐어 코딩 가이드라인을 강화하고, SAST(정적 애플리케이션 보안 테스트) 및 SCA(소프트웨어 구성 분석) 도구를 도입하여 오픈소스 및 상용 라이브러리의 취약점을 개발 단계에서부터 식별하고 제거하는 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치애플리케이션 및 시스템에 대한 정기적인 취약점 점검을 의무화하고, 발견된 취약점에 대한 신속한 패치 적용 및 재발 방지 대책을 포함하는 취약점 관리 프로세스를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문