Apache Shiro RememberMe 기본 암호화 키 사용으로 인한 원격 코드 실행(RCE) 취약점 (CVE-2016-4437)

<!-- Maven pom.xml 수정 예시 -->
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.2.5</version> <!-- 또는 최신 안정 버전 권장 -->
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-web</artifactId>
    <version>1.2.5</version>
</dependency>

// Java 설정 클래스 내 임시 완화 코드 적용 예시
@Bean
public SimpleCookie rememberMeCookie() {
    SimpleCookie cookie = new SimpleCookie('rememberMe');
    cookie.setHttpOnly(true);
    cookie.setMaxAge(31536000); // 1년
    return cookie;
}

@Bean
public CookieRememberMeManager rememberMeManager() {
    CookieRememberMeManager manager = new CookieRememberMeManager();
    manager.setCookie(rememberMeCookie());
    // 하드코딩된 키 대신 런타임 시 무작위로 생성된 안전한 128비트 AES 키 설정
    byte cipherKey = org.apache.shiro.crypto.AesCipherService.generateNewKey(128).getEncoded();
    manager.setCipherKey(cipherKey);
    return manager;
}

# Nginx 또는 WAS 액세스 로그에서 rememberMe 쿠키를 포함한 요청 패턴 검색
grep -i 'rememberMe=' /var/log/nginx/access.log | head -n 20

# 애플리케이션 로그에서 Shiro 역직렬화 관련 오류 및 예외 흔적 추적
grep -Ei 'principalcollection|rememberme|deserialization' /var/log/tomcat*/catalina.out