Java/Spring 오픈소스 직렬화 변환기 원격 코드 실행 취약점 (CVE-2026-19882)

1. 의존성 트리 확인 및 패치 버전 강제 지정 프로젝트 루트에서 아래 명령어로 취약한 라이브러리가 간접 참조되고 있는지 즉시 확인하십시오:

# Maven 프로젝트 확인
mvn dependency:tree | grep -i "serialization"

# Gradle 프로젝트 확인
./gradlew dependencies --configuration runtimeClasspath | grep -i "serialization"

2. JVM 실행 옵션 임시 완화 조치 즉시 재빌드가 불가능한 경우 JVM 기동 파라미터에 원격 클래스 로딩 차단 플래그를 추가하십시오:

JAVA_OPTS="-Dcom.sun.jndi.rmi.object.trustURLCodebase=false -Djdk.serialFilter=!*"

취약점 발생 원리 (Unsafe Deserialization, CWE-502) 외부 API 요청 본문을 객체로 역직렬화하는 과정에서 다형성 타입(Polymorphic Type) 화이트리스트 검증이 우회되는 취약점입니다.

• 공격자는 JNDI Lookup 또는 클래스패스 내 기존 가젯 체인(Gadget Chain)을 호출하는 특수 속성 값을 JSON/XML 본문에 삽입합니다.
• 특히 개발자가 직접 선언하지 않았더라도 서드파티 SDK의 간접 의존성(Transitive Dependency)으로 포함되는 경우가 많아 수동 파악이 어렵습니다.