Red Hat JBoss EAP JMX-Console HTTP 메소드 변조를 통한 인증 우회 취약점 (CVE-2010-0738)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTRed Hat JBoss Enterprise Application Platform (JBoss EAP) 4.2 (4.2.0.CP09 미만) 및 4.3 (4.3.0.CP08 미만) 버전의 JMX-Console 웹 애플리케이션.
공격자가 GET/POST 이외의 HTTP 메소드(예: HEAD, PUT)를 사용하여 JMX-Console의 인증 메커니즘을 우회하고 관리자 권한의 요청을 실행할 수 있습니다.
공식 누적 패치(CP)를 적용하거나, web.xml 설정을 수정하여 모든 HTTP 메소드에 대해 인증을 강제하고, 불필요한 JMX-Console 노출을 차단하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Red Hat 공식 권고에 따라 JBoss EAP 버전을 최신 누적 패치 버전(4.2.0.CP09 또는 4.3.0.CP08 이상)으로 업그레이드하십시오.
# JBoss EAP 패치 적용 및 서비스 재시작 예시 (RHEL 계열)
yum update jbossas-jboss-eap -y
systemctl restart jbossas2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용이 어려운 경우, JMX-Console의 web.xml 설정을 수정하여 모든 HTTP 메소드에 대해 인증을 강제해야 합니다. <http-method> 태그를 제거하여 모든 메소드에 보안 제약이 적용되도록 설정하십시오.
<!-- $JBOSS_HOME/server/default/deploy/jmx-console.war/WEB-INF/web.xml 수정 -->
<security-constraint>
<web-resource-collection>
<web-resource-name>HtmlAdaptor</web-resource-name>
<description>An alternative to http-method restriction</description>
<url-pattern>/*</url-pattern>
<!-- <http-method>GET</http-method> 및 <http-method>POST</http-method> 태그를 삭제하거나 주석 처리 -->
</web-resource-collection>
<auth-constraint>
<role-name>JBossAdmin</role-name>
</auth-constraint>
</security-constraint>3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
웹 서버 액세스 로그에서 GET/POST가 아닌 HEAD 메소드로 JMX-Console에 접근한 이력이 있는지 점검합니다.
# JBoss 액세스 로그에서 HEAD 메소드를 사용한 jmx-console 접근 이력 검색
grep -i 'HEAD /jmx-console' /var/log/jbossas/access_log*
# JMX-Console의 web.xml 내 취약한 설정 존재 여부 확인
grep -A 5 '<web-resource-collection>' /usr/share/jbossas/server/default/deploy/jmx-console.war/WEB-INF/web.xml코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점은 Red Hat JBoss Application Server(JBoss AS)의 JMX-Console 웹 애플리케이션 내 보안 설정 오류로 인해 발생합니다. JBoss EAP의 기본 설정 파일(web.xml) 내 <security-constraint> 설정에서 허용되거나 제한되는 HTTP 메소드가 GET과 POST로만 한정되어 정의되어 있습니다. 이로 인해 컨테이너는 정의되지 않은 다른 HTTP 메소드(예: HEAD, OPTIONS, PUT 등)에 대해 인증 필터를 적용하지 않으며, 공격자는 이를 악용하여 인증 없이 내부 핸들러에 접근할 수 있게 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 대상 JBoss 서버의 JMX-Console URL(/jmx-console/)에 대해 일반적인 GET 또는 POST 요청 대신 HEAD 메소드를 사용하여 요청을 전송합니다. 서블릿 컨테이너는 HEAD 요청을 수신하면 보안 제약 조건(Security Constraint)에 명시된 GET/POST 제한에 걸리지 않으므로 인증 과정을 생략합니다. 이후 내부적으로 GET 핸들러를 호출하여 요청을 처리하고 응답 바디를 제외한 헤더만 반환합니다. 공격자는 이 메커니즘을 통해 MBean 설정을 변경하거나, 임의의 WAR 파일을 배포하는 등의 관리자 작업을 인증 없이 원격에서 수행할 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 자주 악용된 고위험 취약점입니다. 공격자가 JMX-Console에 무단 접근할 경우, 악성 WAR 웹셸을 업로드하여 애플리케이션 서버의 제어권을 완전히 탈취할 수 있습니다. 이는 내부망 침투, 데이터베이스 자격 증명 탈취, 랜섬웨어 배포 등 기업 인프라 전체를 마비시키는 심각한 비즈니스 중단 사태로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
The JMX-Console web application in JBossAs in Red Hat JBoss Enterprise Application Platform (aka JBoss EAP or JBEAP) 4.2 before 4.2.0.CP09 and 4.3 before 4.3.0.CP08 performs access control only for the GET and POST methods, which allows remote attackers to send requests to this application's GET handler by using a different method.
자주 묻는 실무 질문 (FAQ — CVE-2010-0738)
FAQQ1. CVE-2010-0738 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2010-0738의 기본 점수는 CVSS 5.3 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 73.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2010-0738에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 redhat이며, 대상 컴포넌트는 jboss_enterprise_application_platform, jboss_as입니다. 상세 영향 범위: Red Hat JBoss EAP 4.2.0.CP09 미만 버전 및 4.3.0.CP08 미만 버전 (JMX-Console 활성화 상태)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 공식 누적 패치(CP)를 적용하거나, web.xml 설정을 수정하여 모든 HTTP 메소드에 대해 인증을 강제하고, 불필요한 JMX-Console 노출을 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2010-0738 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (redhat)
동일 카테고리 전체 보기 →GNOME json-glib 라이브러리 무한 루프 기반 서비스 거부(DoS) 취약점 (CVE-2026-120194) 분석 및 대응 가이드
[영향 대상] GNOME json-glib 라이브러리를 사용하여 외부 입력값 기반의 JSONPath 쿼리(json_path_query)를 처리하는 애플리케이션 및 시스템
Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
Adobe Commerce (Magento) 서버 측 템플릿 주입(SSTI) 기반 원격 코드 실행 취약점 (CVE-2026-75650)
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (보안 패치 미적용 시)
Metabase /reset_password 엔드포인트 미인증 SQL 인젝션 및 관리자 권한 탈취 취약점 (CVE-2026-72898)
[영향 대상] Metabase 오픈소스 및 엔터프라이즈 버전 중 패치가 적용되지 않은 활성 인스턴스
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.