CVE REMEDIATION GUIDE CVE 취약점 확인 및 조치가이드
점검 대응높음KEV 미등록공식 수정 버전 확인 필요
CVE-2026-40994 Spring Web Services 취약점 확인 및 조치방법
Spring Spring Web Services 취약점
현재 공개된 영향 범위와 공식자료를 바탕으로 자산·버전·노출 여부를 확인할 수 있습니다.읽기 전용 확인 명령은 적극 제공하지만, 공식 수정 버전·정확한 설치 방식·대상 패키지·검증 절차가 확인되지 않은 변경 명령은 표시하지 않습니다.현재 공개된 근거로 먼저 확인할 범위
Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.
- 확인된 영향 범위
- Spring Web Services · 영향 버전: Spring Web Services >= 5.0.0 < 5.0.1.1, >= 4.1.0 < 4.1.3.1, >= 4.0.0 < 4.0.19, >= 3.1.0 < 3.1.9
- 우선 확인
- 공식 보안권고에서 별도 Workaround가 확인되지 않으면 임시 완화는 패치를 대신하지 않습니다.
- 자산 점검 순서
- 제품명·설치 버전을 식별하고, 관리 화면·API·서비스 포트의 외부 노출 여부와 최근 비정상 접근 로그를 함께 확인합니다.
- 변경 전 확인
- 아래 공식자료에서 해당 제품군의 수정 버전과 지원되는 업데이트 경로를 확인한 뒤, 백업·복구 계획과 서비스 영향 범위를 검토합니다.
RISK ASSESSMENT
위험 판단
공개된 점수와 실제 악용 여부를 함께 보고 대응 우선순위를 판단합니다.
- CVSS
- 8.2
- EPSS
- 0.23%
- EPSS 백분위
- 13.8%
- CISA KEV
- 미등록
- 예상 영향
- 기밀성·무결성
유형 미확정
공급사 공식자료 추가 확인 필요 · 대상 제품 유형: 웹·API·애플리케이션
- 제품 유형
- 웹·API·애플리케이션
- 분류 근거
- 공식자료 추가 확인
- CWE
- CWE-1188
실제 적용 전 최종 확인
- 이 가이드는 공개된 CVE·KEV·EPSS·KISA 정보와 일반 취약점 운영 절차를 구조화한 것으로, 실제 자산 영향 여부를 자동 확정하지 않습니다.
- 제품별 변경 명령, 레지스트리, 설정값은 공급사 공식 문서에서 확인된 경우에만 적용해야 합니다.
- EPSS는 악용 확률 예측값이며 자산 중요도·외부 노출·보완통제·업무 영향도를 대체하지 않습니다.
- CWE와 설명만으로 취약점 유형을 특정하지 못해 공통 절차 비중이 높습니다.
- 현재 데이터에 수정 버전이 없어 패치 버전을 임의로 추정하지 않았습니다.
- 공식 수정 버전과 공식 조치 근거가 함께 확인되지 않아 변경 명령은 자동 공개하지 않습니다.
- 공식 조치 근거가 확인되지 않았습니다.
- 실제 패키지·서비스·경로가 확정되지 않은 명령 3건은 공개하지 않았습니다.
OFFICIAL REFERENCES
공식자료·참고자료
조치 적용 전 공급사 권고와 CVE 원문을 마지막으로 확인하세요.