🇰🇷 한글 설명
Quarkus 프레임워크의 HTTP 경로 기반 인가 정책이 인코딩된 세미콜론(%3B)을 이용한 매트릭스 파라미터 밀수와, 인코딩된 슬래시(%2F) 또는 백슬래시(%5C)를 이용한 보호된 정적 리소스 접근을 통해 우회될 수 있는 취약점입니다. 이는 literal 세미콜론 제거만 다룬 CVE-2026-39852와는 별개의 문제입니다. 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, 3.20.6.2 버전에서 패치되었습니다.
💡 쉬운 설명
웹 애플리케이션의 접근 제어 규칙을 특수하게 인코딩된 주소로 우회해 보호된 페이지나 파일에 접근할 수 있습니다. 해당 Quarkus 버전을 패치된 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
Quarkus is a Java framework for building cloud-native applications. Prior to versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2, Quarkus HTTP path-based authorization policies can be bypassed using encoded semicolons (%3B) to smuggle matrix parameters past the security layer, and using encoded slashes (%2F) or backslashes (%5C) to access protected static resources. This is a distinct issue from CVE-2026-39852, which addressed only literal semicolon stripping. Versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2 contain a patch.
📍 영향받는 시스템
Quarkus 3.37.0 미만, 3.36.3 미만, 3.33.2.1 미만(3.33.x), 3.27.4.1 미만(3.27.x), 3.20.6.2 미만(3.20.x) 버전을 사용하는 Quarkus 애플리케이션
⚔️ 공격 벡터
인코딩된 %3B, %2F, %5C 문자를 포함한 특수 URL 요청으로 경로 기반 인가 정책을 우회하여 보호된 리소스에 접근
🛡️ 대응 방법
Quarkus를 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, 3.20.6.2 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 3.37.0 이상이거나 패치된 해당 브랜치 버전(3.36.3, 3.33.2.1 이상 등)이면 패치 완료이며, 그보다 낮은 버전이 보이면 취약한 상태입니다.
grep -rho 'io.quarkus:quarkus-core:[0-9.]*' ~/.m2/repository 2>/dev/null | sort -u