🇰🇷 한글 설명
Apache Juneau의 HTML 문서 직렬화 기능이 페이지 헤더, 내비게이션, 사이드바, 푸터 등 페이지 틀(chrome)의 변수 치환 값을 HTML 인코딩하지 않습니다. 애플리케이션이 요청 헤더, 폼 데이터, 경로 값 같은 요청 기반 변수를 틀에 포함하면 이 값이 그대로 반사되어 크로스 사이트 스크립팅(XSS)이 발생합니다. 기본 틀은 요청 변수를 사용하지 않으므로 이를 추가한 애플리케이션만 영향을 받습니다. 9.2.0 이하 버전이 대상이며 9.2.1에서 수정되었습니다.
💡 쉬운 설명
Apache Juneau라는 Java 웹 프레임워크가 화면 틀에 들어가는 값을 안전하게 처리하지 않습니다. 이 값에 악성 스크립트가 섞이면 방문자의 브라우저에서 그 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Apache Juneau.
HTML document serialization does not HTML-encode variable substitutions in the page chrome (header, nav, aside, footer and similar fields). Applications whose chrome includes request-derived variables, such as request headers, form data or path values, reflect those values unencoded, allowing cross-site scripting. The default chrome does not use request variables, so only applications that add them are affected.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue.
📍 영향받는 시스템
Apache Juneau 9.2.0 이하 버전 중 HTML 직렬화 틀에 요청 기반 변수를 사용하는 애플리케이션
⚔️ 공격 벡터
공격자가 요청 헤더나 폼 데이터, 경로 값에 악성 스크립트를 담아 보내고, 이 값이 페이지 틀에 인코딩 없이 출력되어 피해자 브라우저에서 실행됩니다.
🛡️ 대응 방법
Apache Juneau를 9.2.1 이상으로 업그레이드하고, 요청 값을 페이지 틀에 넣는 부분은 출력 시 HTML 인코딩을 적용합니다.
🔧 검증 코드
결과에 juneau-*.jar 파일명이 나타나면 파일명의 버전을 확인하여 9.2.1 미만이면 취약할 가능성이 있고, 결과가 없으면 이 시스템에 해당 라이브러리가 설치되어 있지 않습니다.
find / -name 'juneau*.jar' 2>/dev/null | head -n 5
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P3
📅 2026-11-06 · sec_notice
Apache 재단이 Apache Juneau에서 발생한 XSS 취약점(CVE-2026-96677)과 민감정보의 로그 파일 기록 취약점(CVE-2026-73100)을 해결한 보안 업데이트를 발표했습니다. 9.2.1 미만 버전을 사용 중인 경우 9.2.1 이상으로 즉시 업데이트할 것을 권장합니다.