[CVE] CVE-2026-42779 (CVSS 9.8 · 치명적) [CWE-502]

핵심 요약

Apache MINA 프레임워크에서 클래스 이름 허용 목록 우회로 인한 임의 코드 실행 취약점(CVE-2026-42779, CVSS 9.8)이 발견되었습니다. 이 취약점은 `AbstractIoBuffer.resolveClass()` 메서드 내에서 클래스 유효성 검사가 `Class.forName()` 호출 전에 제대로 이루어지지 않아 발생하며, 공격자가 허용 목록을 우회하여 악성 코드를 실행할 수 있도록 합니다. 이는 Deserialization of Untrusted Data(CWE-502) 유형의 취약점으로, MITRE ATT&CK의 Exploit Public-Facing Application(T1190) 전술에 해당할 수 있습니다. IT 감사인은 Apache MINA를 사용하는 시스템의 취약점 패치 여부를 즉시 점검하고, 애플리케이션의 입력값 검증 및 역직렬화(deserialization) 처리 로직에 대한 보안 감사를 강화해야 합니다.

💡 개선 권고안

• ✔기술적 조치Apache MINA 프레임워크를 사용하는 모든 시스템 및 애플리케이션은 즉시 2.1.12 또는 2.2.7 이상 버전으로 업그레이드하여 CVE-2026-42779 취약점을 해결할 것을 권고함.
• ✔기술적 조치Apache MINA를 사용하는 애플리케이션에서 `IoBuffer.getObject()`와 같이 역직렬화(deserialization)를 수행하는 코드에 대해 신뢰할 수 없는 데이터의 역직렬화(Deserialization of Untrusted Data) 공격 방지를 위한 입력값 검증 및 클래스 허용 목록(allowlist) 적용 등 보안 통제를 강화할 것을 권고함.
• ✔관리적 조치조직 내 사용 중인 모든 오픈소스 라이브러리 및 프레임워크에 대한 자산 목록을 최신 상태로 유지하고, 정기적인 취약점 스캔 및 보안 업데이트 모니터링 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치애플리케이션 개발 단계부터 보안 취약점 점검을 위한 시큐어 코딩 가이드라인을 강화하고, 정적/동적 분석 도구를 활용하여 역직렬화 취약점과 같은 잠재적 위험을 사전에 식별하고 제거하는 절차를 마련할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문