CVE 데이터베이스CVE-2017-3066

최종 갱신 2026-06-17English Advisory →

CVE-2017-30669.8/CRITICALCISA KEV 등재CWE-502CWE-502

Adobe ColdFusion Apache BlazeDS Java 역직렬화 원격 코드 실행 취약점 (CVE-2017-3066)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

adobe, apache

대상 컴포넌트 / 패키지

coldfusion, blazeds

권고문 발행일

2017-04-27

CVSS v3.1

9.8

CRITICAL

30일 악용확률

90.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Adobe ColdFusion 2016 Update 3 이하, ColdFusion 11 Update 11 이하, ColdFusion 10 Update 22 이하 버전.

파급 효과

인증되지 않은 원격 공격자가 조작된 AMF(Action Message Format) 페이로드를 전송하여 대상 서버에서 시스템 권한으로 임의의 코드를 실행할 수 있습니다.

권장 조치

Adobe 공식 보안 권고(APSB17-14)에 따라 최신 업데이트를 적용하고, 외부로부터의 AMF 엔드포인트 접근을 차단하십시오.

영향받는 제품 및 버전 범위

Adobe ColdFusion 2016 Update 3 이하, ColdFusion 11 Update 11 이하, ColdFusion 10 Update 22 이하 (Apache BlazeDS 라이브러리 포함 버전)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Adobe 공식 권고(APSB17-14)에 따라 사용 중인 ColdFusion 버전에 맞는 최신 업데이트 패치를 적용해야 합니다.

ColdFusion 관리자 콘솔을 사용할 수 없는 환경에서는 아래와 같이 수동으로 패치 jar 파일을 다운로드하여 적용할 수 있습니다:

bash

# ColdFusion 2016의 경우 (예시: Update 4 이상으로 업데이트)
cd /opt/coldfusion2016/cfusion/lib/updates
wget https://images-link.adobe.com/content/dam/pdfs/support/coldfusion/hotfixes/cf2016_updt4.jar
chown coldfusion:coldfusion cf2016_updt4.jar
systemctl restart coldfusion

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 즉시 어려운 경우, 외부로부터의 AMF 게이트웨이 접근을 차단해야 합니다. Nginx 또는 Apache HTTPD 설정 파일에서 관련 URL 경로에 대한 외부 접근을 거부하십시오.

nginx

# Nginx Reverse Proxy 설정 예시
location ~* /(flex2gateway|flashservices/gateway|openamf/gateway) {
    deny all;
    return 403;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 액세스 로그에서 AMF 게이트웨이 엔드포인트로 향하는 비정상적인 POST 요청 및 페이로드 크기를 점검하십시오.

bash

# ColdFusion 액세스 로그에서 AMF 게이트웨이 호출 이력 및 200 OK 응답 확인
grep -E '/flex2gateway|/flashservices' /opt/coldfusion*/cfusion/logs/access.log | grep 'POST' | grep ' 200 '

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 공격에 악용되고 있는 KEV 등재 취약점이므로, 즉시 Adobe ColdFusion을 최신 패치 버전으로 업데이트하고 외부 AMF 엔드포인트 접근을 차단하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Adobe ColdFusion에 내장된 Apache BlazeDS 라이브러리가 AMF(Action Message Format) 프로토콜을 처리하는 과정에서 발생하는 Java 역직렬화(Deserialization) 취약점입니다. 입력 데이터에 대한 적절한 검증 없이 신뢰할 수 없는 객체를 역직렬화(CWE-502)함으로써, 공격자가 조작한 직렬화 객체가 JVM 내에서 실행되어 임의의 코드가 실행되는 결과를 초래합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 HTTP POST 요청을 통해 ColdFusion의 AMF 게이트웨이 엔드포인트(예: /flex2gateway/ 또는 /flashservices/gateway)로 악성 Java 객체가 포함된 AMF 메시지를 전송합니다. BlazeDS 라이브러리는 이 요청을 수신한 후, 내부의 Amf3Input 또는 Amf0Input 클래스를 사용하여 데이터를 역직렬화합니다. 이 과정에서 클래스 경로(Classpath) 내에 존재하는 취약한 가젯 체인(Gadget Chain)이 트리거되어, 공격자가 의도한 OS 명령어가 대상 서버에서 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적인(Critical) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 적극적으로 악용되고 있음이 확인되었습니다. 공격 성공 시, 공격자는 웹 서버 프로세스 권한을 획득하여 내부 네트워크 침투, 데이터베이스 탈취, 랜섬웨어 유포 등 인프라 전체를 장악할 수 있는 심각한 비즈니스 중단 위험을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Adobe ColdFusion 2016 Update 3 and earlier, ColdFusion 11 update 11 and earlier, ColdFusion 10 Update 22 and earlier have a Java deserialization vulnerability in the Apache BlazeDS library. Successful exploitation could lead to arbitrary code execution.

http://www.securityfocus.com/bid/98003

출처: psirt@adobe.com · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1038364

출처: psirt@adobe.com · Broken Link, Third Party Advisory, VDB Entry

https://helpx.adobe.com/security/products/coldfusion/apsb17-14.html

출처: psirt@adobe.com · Patch, Vendor Advisory

https://www.exploit-db.com/exploits/43993/

출처: psirt@adobe.com · Exploit, Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/98003

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1038364

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2017-3066)

FAQ

Q1. CVE-2017-3066 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2017-3066의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 90.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2017-3066에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 adobe, apache이며, 대상 컴포넌트는 coldfusion, blazeds입니다. 상세 영향 범위: Adobe ColdFusion 2016 Update 3 이하, ColdFusion 11 Update 11 이하, ColdFusion 10 Update 22 이하 (Apache BlazeDS 라이브러리 포함 버전)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Adobe 공식 보안 권고(APSB17-14)에 따라 최신 업데이트를 적용하고, 외부로부터의 AMF 엔드포인트 접근을 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동