안녕하세요, 맨텍솔루션 아코디언 팀입니다.
최근 Java 환경에서 널리 쓰이는 OpenJDK의 기본 인증서 저장소와 관련된 중요한 보안 취약점(CVE-2026-91403)이 발표되었습니다. 이에 아코디언 필수 카탈로그로 제공되는 Tomcat 및 OpenJDK 베이스 이미지에 대한 긴급 보안 패치를 제공합니다.
취약점 상세 내용
이번 취약점은 애플리케이션의 코드 에러가 아닙니다. Java가 기본적으로 신뢰하는 인증서 목록(cacerts)에 문제가 생겼습니다.
| 구분 | 상세 내용 |
| 취약점 명 | CVE-2026-91403 (CVSS 3.1: 9.1 Critical) |
| 원인 | 개인키가 유출된 ‘eMudhra’ 중간 인증기관(CA) 8개를 JDK가 지속적으로 신뢰하는 문제 |
| 위험성 | 공격자가 유출된 키를 이용해 위조 인증서를 발급할 수 있습니다. 기업 애플리케이션이 외부(결제사, 클라우드 API 등)와 HTTPS 통신을 수행할 때, 공격자가 중간에 개입하여 데이터를 가로채거나 변조하는 중간자 공격(MitM)을 시도할 수 있습니다. |
아코디언 플랫폼 영향도
아코디언 플랫폼에서 제공하는 Tomcat 및 OpenJDK 이미지 전체가 이번 패치 대상에 해당합니다. (Tomcat 자체의 결함이 아닌, 포함된 JDK 인증서의 이슈입니다.)
- 대상 버전: 아코디언 v3 및 v2.6 이상
통신 방식에 따라 위험도가 상이합니다. 아래 표를 참조하시어 ‘치명적/높음’에 해당하는 경우 최우선으로 패치를 적용해 주시기 바랍니다.
| 위험도 | 주요 통신 환경 |
| 치명적 🔴 | 결제, 외부 인증, 클라우드 API 등 인터넷 구간을 거치는 외부 HTTPS 통신을 하는 경우 |
| 높음 🟠 | Tomcat에서 클라이언트 인증서 인증(mTLS)을 쓰면서 기본 cacerts를 사용하는 경우 |
| 중간 🟡 | 외부 통신 없이 우리 회사 내부망(사설 CA) 통신이나, 클러스터 내부 통신만 하는 경우 |
| 없음 🟢 | 외부로 나가는 통신 없이, 단순히 외부 접속(Ingress 단에서 암호화 해제)만 받는 경우 |
(참고: 당장 위험도가 낮거나 영향이 없는 환경이라도, 향후 구성 변경에 대비해 선제적으로 패치 이미지를 적용하시기를 적극 권장합니다.)
🛠️ 대응 방안 및 조치 방법
이번 패치 이미지에는 1) 유출된 eMudhra 중간 CA 제거 및 2) 최신 OS 인증서 번들 업데이트가 공통으로 반영되어 있습니다. 패치 이미지를 기반으로 애플리케이션을 안전하게 재배포하기 위해 아래 조치 순서와 지원 버전을 확인해 주십시오.
[조치 순서]
⚠️ 주의 사항: 실행 중인 컨테이너에는 패치가 자동으로 반영되지 않으므로, 반드시 애플리케이션을 새롭게 빌드하고 재배포하셔야 합니다.
| 단계 | 조치 항목 | 상세 내용 |
| 1단계 | 백업 태그 생성 | 롤백에 대비하여 현재 사용 중인 베이스 이미지에 백업용 태그를 생성합니다. |
| 2단계 | 패치 이미지 Push | 제공받은 패치 이미지를 사내 레지스트리(Infra Registry)에 Push 합니다. (※ 패치 이미지는 기존과 동일한 태그명으로 제공됩니다.) |
| 3단계 | 재빌드 및 재배포 | 신규 패치 이미지를 기반으로 애플리케이션을 새로 빌드하고 클러스터에 재배포합니다. |
[지원하는 Tomcat 및 JDK 버전 안내]
| 베이스 이미지 | 지원 JDK 버전 | 패치 태그명 형식 | 비고 |
| Tomcat 9 | 8, 11, 17, 21 | 9.0.123-jdk[버전] | |
| Tomcat 10 | 11, 17, 21 | 10.1.61-jdk[버전] | JDK 8 미지원 |
| OpenJDK | 8, 11, 17, 21 | jdk[버전] |
(※ Tomcat 8 이하는 EOL(서비스 종료) 사유로 별도 패치가 제공되지 않습니다. 상위 버전으로의 업그레이드를 권고합니다.)
✅ 적용 확인 방법
버전명 표기는 벤더마다 달라 혼선이 있을 수 있으므로, 파드(Pod)에 직접 접속하여 문제가 된 인증서(eMudhra 루트)가 삭제되었는지 확인해 주십시오.
아래 명령어를 실행했을 때, 아무런 결과(출력)가 나오지 않으면 정상적으로 삭제된 것입니다.
kubectl exec -n [네임스페이스] [파드명] -- sh -c \
'keytool -list -v -cacerts -storepass changeit 2>/dev/null | grep -iE "^Owner:.*emSign"'
(※ JDK 8 버전은 -cacerts 옵션 대신 -keystore $JAVA_HOME/jre/lib/security/cacerts로 변경하여 실행해 주십시오.)
아코디언 팀은 이번 OpenJDK 업데이트의 중요성을 깊이 인지하고 긴급하게 대응을 진행하였습니다. 패치 적용과 관련하여 지원이 필요하신 경우 담당 엔지니어 또는 아래 채널로 문의해 주시기 바랍니다.
- 이메일 문의: om@mantech.co.kr