CVE 데이터베이스CVE-2009-3960

최종 갱신 2026-08-06English Advisory →

CVE-2009-39606.5/MEDIUMCISA KEV 등재

Adobe BlazeDS 및 ColdFusion XML 외부 엔티티(XXE) 정보 유출 취약점 (CVE-2009-3960)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

adobe

대상 컴포넌트 / 패키지

blazeds, livecycle, coldfusion, flex_data_services

권고문 발행일

2010-02-15

CVSS v3.1

6.5

MEDIUM

30일 악용확률

90.1%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Adobe BlazeDS 3.2 이하 버전 및 이를 사용하는 LiveCycle, ColdFusion, Flex Data Services 제품군

파급 효과

인증되지 않은 원격 공격자가 악의적인 XML 요청을 전송하여 서버 내부 파일 및 민감한 정보를 탈취할 수 있습니다

권장 조치

공식 보안 패치를 적용하거나, XML 파서 설정에서 외부 엔티티(XXE) 참조 기능을 비활성화하십시오

영향받는 제품 및 버전 범위

Adobe BlazeDS 3.2 이하, LiveCycle 8.0.1/8.2.1/9.0, LiveCycle Data Services 2.5.1/2.6.1/3.0, Flex Data Services 2.0.1, ColdFusion 7.0.2/8.0/8.0.1/9.0

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Adobe 공식 보안 권고(APSB10-05)에 따라 최신 패치 버전으로 업그레이드해야 합니다. ColdFusion 및 BlazeDS 라이브러리를 최신 버전으로 교체하십시오.

bash

# ColdFusion 환경에서 취약한 BlazeDS JAR 파일 검색 및 백업
find /opt/coldfusion -name 'flex-messaging-core.jar'
mv /opt/coldfusion/lib/flex-messaging-core.jar /opt/coldfusion/lib/flex-messaging-core.jar.bak

# 최신 패치된 JAR 파일 다운로드 및 배치 (예시 경로)
wget https://downloads.adobe.com/pub/adobe/coldfusion/xml-patch/flex-messaging-core.jar -O /opt/coldfusion/lib/flex-messaging-core.jar

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 웹 애플리케이션 방화벽(WAF)을 통해 외부 엔티티 선언(DOCTYPE, ENTITY)이 포함된 XML 요청을 차단하거나, Java 코드 내에서 XMLInputFactory 설정을 변경하여 외부 엔티티 참조를 비활성화해야 합니다.

java

// Java 애플리케이션 내 XML 파서 보안 설정 예시
XMLInputFactory xif = XMLInputFactory.newInstance();
xif.setProperty(XMLInputFactory.SUPPORT_DTD, false);
xif.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false);

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 액세스 로그에서 외부 엔티티 주입 시도 흔적을 탐지하기 위한 점검 스크립트입니다.

bash

# Apache/Nginx 액세스 로그에서 XXE 공격 패턴(SYSTEM, file://) 검색
grep -Ei 'ENTITY|SYSTEM|file://' /var/log/nginx/access.log /var/log/httpd/access_log

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점이므로, 즉시 Adobe APSB10-05 패치를 적용하거나 외부 XML 엔티티 참조 기능을 비활성화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Adobe BlazeDS 및 관련 제품군에서 XML 문서를 처리할 때 발생합니다. XML 파서가 외부 엔티티 참조(XML External Entity, XXE)를 적절히 제한하지 않고 처리하도록 설정되어 있어, 공격자가 주입한 외부 태그 및 엔티티 참조를 그대로 해석하면서 시스템 내부 파일이나 네트워크 자원에 접근할 수 있는 취약점입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 AMF(Action Message Format) 또는 HTTP POST 요청 본문에 악의적으로 조작된 XML 데이터를 포함하여 취약한 엔드포인트로 전송합니다. XML 파서는 정의된 외부 엔티티(예: 'file:///etc/passwd' 또는 'file:///c:/windows/win.ini')를 해석하여 해당 파일의 내용을 읽어온 뒤, 이를 애플리케이션 응답에 포함시켜 공격자에게 반환합니다. 이 과정에서 별도의 사용자 인증이 필요하지 않아 원격에서 손쉽게 익스플로잇이 가능합니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있을 만큼 실제 공격에 자주 악용되는 고위험군 취약점입니다. 공격자는 서버 내부의 설정 파일, 소스 코드, 데이터베이스 자격 증명 등 민감한 정보를 탈취할 수 있으며, 내부 네트워크 스캔 및 SSRF(Server-Side Request Forgery) 공격의 교두보로 활용할 수 있어 비즈니스 인프라 전체에 심각한 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Unspecified vulnerability in BlazeDS 3.2 and earlier, as used in LiveCycle 8.0.1, 8.2.1, and 9.0, LiveCycle Data Services 2.5.1, 2.6.1, and 3.0, Flex Data Services 2.0.1, and ColdFusion 7.0.2, 8.0, 8.0.1, and 9.0, allows remote attackers to obtain sensitive information via vectors that are associated with a request, and related to injected tags and external entity references in XML documents.

http://secunia.com/advisories/38543

출처: psirt@adobe.com · Broken Link

http://securitytracker.com/id?1023584

출처: psirt@adobe.com · Broken Link, Third Party Advisory, VDB Entry

http://www.adobe.com/support/security/bulletins/apsb10-05.html

출처: psirt@adobe.com · Not Applicable, Vendor Advisory

http://www.osvdb.org/62292

출처: psirt@adobe.com · Broken Link

http://www.securityfocus.com/bid/38197

출처: psirt@adobe.com · Broken Link, Third Party Advisory, VDB Entry

https://www.exploit-db.com/exploits/41855/

출처: psirt@adobe.com · Exploit, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2009-3960)

FAQ

Q1. CVE-2009-3960 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2009-3960의 기본 점수는 CVSS 6.5 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 90.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2009-3960에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 adobe이며, 대상 컴포넌트는 blazeds, livecycle, coldfusion, flex_data_services입니다. 상세 영향 범위: Adobe BlazeDS 3.2 이하, LiveCycle 8.0.1/8.2.1/9.0, LiveCycle Data Services 2.5.1/2.6.1/3.0, Flex Data Services 2.0.1, ColdFusion 7.0.2/8.0/8.0.1/9.0