🇰🇷 한글 설명
Azure SDK for Java의 Java Key Vault Keys 라이브러리 내 로컬 암호화 검증 경로에서 인증 태그 비교가 잘못 구현된 문제가 발견되었습니다. 이로 인해 취약한 로컬 암호화 경로를 사용하는 애플리케이션에서 특수하게 제작된 암호화된 입력값이 무결성 검증을 우회할 수 있습니다. 다만 Key Vault 서비스로 위임된 작업은 영향을 받지 않습니다.
💡 쉬운 설명
암호화된 데이터가 진짜인지 확인하는 과정에서 검사 규칙이 잘못 설정되어 있습니다. 공격자가 조작된 데이터를 보내도 시스템이 이를 정상적인 데이터로 착각하고 통과시킬 수 있습니다.
🇺🇸 원문 (English)
The Java Key Vault Keys library in the Azure SDK for Java contains an issue in the local cryptographic verification path where authentication tag comparison was implemented incorrectly. In affected applications that use the vulnerable local cryptography path, specially crafted encrypted input may bypass integrity verification checks. Operations delegated to the Key Vault service are not affected. The issue is addressed in version 4.10.6.
📍 영향받는 시스템
Azure SDK for Java의 Java Key Vault Keys 라이브러리 (버전 4.10.6 미만)
⚔️ 공격 벡터
조작된 암호화 입력값을 전달하여 무결성 검증 과정을 우회하는 방식
🛡️ 대응 방법
Java Key Vault Keys 라이브러리를 버전 4.10.6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 4.10.6보다 낮은지 확인하십시오.
mvn dependency:list | grep 'azure-security-keyvault-keys'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
MS 5월 보안 위협에 따른 정기 보안 업데이트 권고
P5
📅 2026-05-14 · sec_notice
마이크로소프트의 5월 정기 보안업데이트(16종)가 발표되었으며, 긴급(Critical) 12종과 중요(Important) 4종의 취약점 265개를 포함한다. Windows 전 버전, Server, Office, SharePoint, Azure 등 광범위한 제품군이 영향받으며, RCE와 권한상승 등 높은 위험도의 취약점이 있다. 모든 사용자에게 즉시 보안업데이트 적용을 권장한다.