최고 심각도(CVSS 10.0)인 OpenAM 취약점의 해설입니다. OpenAM은 싱글 사인온(SSO)에 널리 쓰이는 접근 관리 제품입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.
- CVE
- CVE-2026-123551 (GitHub 권고 GHSA-5c3q-hp86-xjr8)
- 심각도
- CVSS v3.1 10.0 (Critical). CVSS v4.0에서도 10.0 (v4.0 점수는 CVE 레코드 기준)
- 유형
- 세션 토큰 노출(CWE-201). 권고는 그 밖에 인증 우회(CWE-288)도 함께 들고 있음
- 전제 조건
- 인증 불필요. OpenAM 포트에 네트워크로 닿을 수 있으면 충분. 권고에 따르면 기본 설정이 영향을 받음
- 영향 대상
- OpenAM (Open Identity Platform) 14.0.0부터 16.1.3까지
- 수정
- OpenAM 16.1.4
- 날짜
- 권고: 2026년 10월 22일 / CVE 레코드: 2026년 11월 8일
- 악용
- 권고에는 악용 언급 없음. CISA KEV 미등재 (11월 9일 기준)
방치가 위험한 이유
권고에 따르면 인증 없는 공격자가 로그인 그 자체로 기능하는 사용자 세션 토큰을 읽을 수 있습니다. 관리자 세션이 탈취되면 설정 탈취와 OpenAM 서비스 계정 권한의 명령 실행으로 이어질 수 있다고 권고는 밝힙니다. 수집 과정에서는 로그인 실패나 계정 잠금이 생기지 않습니다. 인터넷에 노출된 OpenAM을 최우선으로 다루세요.
이 취약점은 무엇인가
OpenAM은 세션 생성, 로그아웃, 타임아웃, 속성 변경을 에이전트(인증을 확인하기 위해 애플리케이션 앞에 두는 구성 요소)에 알립니다. 권고에 따르면 이 알림에는 전체 세션 식별자가 담겨 있으며, 이것은 소지자 자격 증명(bearer credential)으로 기능합니다. 즉 이를 가진 사람은 그 사용자로 취급됩니다. 에이전트 알림은 기본으로 활성화되어 있습니다.
두 가지 약점이 결합됩니다. 알림 WebSocket을 에이전트로 제한하기 위한 확인이, 레거시 Liberty ID-FF(오래된 페더레이션 방식) 엔드포인트를 통해 자격 증명 없이 우회될 수 있습니다. 이를 통과하면 연결된 클라이언트는 내부용을 포함한 모든 토픽을 구독할 수 있습니다. 본 사이트는 악용 방법을 설명하지 않습니다.
이전(14.0.0–16.1.3)
- 에이전트가 아닌 클라이언트도 알림 WebSocket에 연결할 수 있음
- 알림에 세션 식별자가 포함됨
- 수집은 수동적이며 로그에 흔적이 남지 않음
16.1.4의 변경
- 내부 요청 디스패치에서도 보안 필터가 실행됨
- ID-FF 엔드포인트가 더 이상 내부 엔드포인트로 전달하지 않음
- WebSocket 클라이언트는 에이전트 토픽만 구독할 수 있음
권고는 또한, 같은 레거시 ID-FF 엔드포인트가 로그인, 페더레이션, 로그아웃 후에 요청에서 가져온 검증되지 않은 주소로 브라우저를 리다이렉트하며, URL 재작성이 활성화되어 있으면 그 주소에 사용자의 세션 토큰이 덧붙는다고 지적합니다. 16.1.4에서는 리다이렉트 대상이 제공자별 허용 목록에 있는 것만 받아들여집니다.
영향 범위
| 항목 | 상세 |
|---|---|
| 제품 | OpenAM (Open Identity Platform) |
| 영향받는 버전 | 14.0.0부터 16.1.3까지 (CVE 레코드 표현: "from 14.0.0 before 16.1.4") |
| 수정된 버전 | 16.1.4 |
| 영향 없음 | 14.0.0 미만 (알림 WebSocket 없음) |
| 패키지 | openam-server-only, openam-federation-library, openam-notifications-websocket (group org.openidentityplatform.openam) |
- 권고에 따르면 기본 설정이 영향을 받습니다.
- 파생 빌드와 상용 지원 빌드는 각 벤더가 공개하는 버전에 따라 달라집니다. 사용 중인 빌드가 영향을 받는지 벤더에 문의하세요.
영향 여부 확인 방법
OpenAM 버전 확인
관리 콘솔에 표시되는 버전이나 배포된 패키지(WAR, JAR 등)의 버전을 확인하세요. 14.0.0부터 16.1.3까지가 영향을 받습니다. 운영, 스테이징, 개발 인스턴스가 있다면 각각 확인하세요(자산 목록 체크리스트).
외부에서 접근 가능한지 확인
OpenAM 포트에 인터넷이나 그 밖의 신뢰할 수 없는 네트워크에서 닿을 수 있는지 확인하세요. 권고에 따르면 공격자에게는 포트에 닿을 수 있는 것만으로 충분합니다.
에이전트 알림 사용 여부 확인
에이전트 알림 설정(org.forgerock.openam.notifications.agents.enabled)을 확인하세요. 권고에 따르면 기본으로 활성화되어 있습니다.
오늘 해야 할 일
16.1.4로 업데이트(최우선)
권고의 업그레이드 노트를 읽은 뒤 OpenAM을 16.1.4로 업데이트하세요. ID-FF 로그인, 페더레이션, 로그아웃 후에 사용자를 다른 호스트로 리다이렉트하고 있다면 새로 생긴 제공자별 Relay State URL List를 채워야 합니다. web.xml을 커스터마이즈했다면 16.1.4에서 도입된 dispatcher 요소를 추가하세요.
업데이트할 수 있을 때까지 진입 지점을 좁힌다
권고의 회피책은 아래와 같습니다. 업데이트를 대체하지는 못합니다.
・프록시, 로드 밸런서, 방화벽에서 알려진 에이전트 호스트만 /openam/notifications와 /openam/ws/*에 닿도록 허용합니다.
・에이전트가 알림에 의존하지 않는다면 에이전트 알림을 비활성화합니다(org.forgerock.openam.notifications.agents.enabled를 false로 설정).
・ID-FF 페더레이션을 사용하지 않는다면 /openam/preLogin과 /openam/postLogin을 포함한 레거시 Liberty ID-FF 엔드포인트를 차단합니다.
업데이트 후 기존 세션 폐기
권고는 노출된 세션을 교체하고 현재의 관리자 및 사용자 세션을 노출되었을 수 있는 것으로 취급하라고 요청합니다. 업데이트 후에는 관리자를 포함한 모든 사람에게 다시 로그인하도록 강제하세요. 본 사이트의 추가 의견으로, 기기에 남아 있는 장기 세션과 연결된 애플리케이션이 보유한 세션도 점검하세요. 절차는 취약점 대응 플레이북에서 다룹니다.
로그와 설정 변경 점검
권고는 예기치 않은 WebSocket 연결, 세션 토픽 구독, 스크립팅 설정 변경을 감시 대상으로 듭니다. 업데이트 이전 기간에 대해 누가 알림 엔드포인트에 닿았는지와 관리자의 설정 변경 이력을 점검하세요. 수동적인 읽기는 로그인 실패를 남기지 않으므로, 아무것도 발견되지 않았다고 안심할 수 없습니다.
스크립팅 환경 강화
권고는 스크립팅 샌드박스를 강제 적용 상태로 유지하고, 스크립팅 설정을 바꿀 수 있는 사람을 제한하며, 컨테이너를 OS 샌드박스 아래에서 실행하라고 조언합니다. 관리자 세션이 탈취되었을 때의 피해를 줄여 줍니다.
악용 상황
- 권고는 악용이 관측되었다고 밝히지 않았습니다. 운영자가 업그레이드할 시간을 벌 수 있도록 기술 세부 사항과 개념 증명 코드를 공개하지 않는다고 합니다.
- 2026년 11월 9일 기준 이 결함은 CISA의 KEV 카탈로그에 등재되어 있지 않습니다(카탈로그 버전 2026.11.06).
- NVD 레코드는 11월 8일에야 생성되었고 상태는 Received(아직 분석되지 않음)입니다.
본 사이트의 견해: 점수보다 SSO에서의 위치와 흔적이 남지 않는다는 점을 더 무겁게 본다
KEV 등재도 보고된 악용도 없으므로 점수만 보면 "지켜보자"는 판단도 방어할 수 있습니다. 그래도 OpenAM이 인터넷에 노출되어 있다면 이번 주 안에 대응할 것을 본 사이트는 두 가지 이유로 권합니다.
첫째, SSO의 중심이 뚫리면 같은 탈취가 연결된 모든 애플리케이션으로 번집니다. 둘째, 권고가 설명하듯 토큰을 읽는 일은 흔적이 거의 남지 않아, 나중에 아무 일도 없었음을 입증하기 어렵습니다. 입증할 수 없다고 가정하고, 업데이트와 세션 폐기를 함께 하세요. 다요소 인증은 로그인 단계를 강화하지만, 이미 발급된 세션 토큰을 재사용하는 사람은 막지 못합니다(다요소 인증 가이드).
출처
- OpenIdentityPlatform/OpenAM — GHSA-5c3q-hp86-xjr8: OpenAM unauthenticated session token disclosure (2026년 10월 22일 공개. 영향받는 버전과 수정 버전, 회피책, 업그레이드 노트)
- CVE.org — CVE-2026-123551 (2026년 11월 8일 공개. 14.0.0 이상 16.1.4 미만. CVSS 10.0)
- NVD — CVE-2026-123551 (11월 8일 생성. 상태 Received, 즉 분석 전. CWE-201)
- CISA KEV — Known Exploited Vulnerabilities Catalog (11월 9일 기준 미등재 확인)
최종 확인: 2026년 11월 9일.
이어서 읽기
- 실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
- 판단: CVSS, EPSS, KEV로 우선순위 정하기
- 인증: 다요소 인증 가이드 / 인증과 인가의 차이
- 용어: 세션 고정이란? / CVSS란?