이 글은 Sonatype 공식 블로그의 eMudhra CA Incident: Sonatype's Assessment and Guidance을 에스코어가 공식 파트너로서 한국어로 번역한 콘텐츠입니다.
에스코어 인사이트
•
배포 방식별 대응: 클라우드 Nexus Repository, IQ Server, Sonatype Guide는 원문에서 조치 완료로 표시됐지만, 자체 호스팅 Nexus Repository와 IQ Server는 진행 중입니다. 자체 호스팅 환경에서는 수정 버전과 Docker 이미지 제공 여부를 확인해야 합니다.
•
신뢰 저장소 점검: 브라우저와 운영체제뿐 아니라 컨테이너와 애플리케이션에 포함된 인증서 신뢰 저장소도 확인해야 합니다. Sonatype의 제품별 지침 없이 내장 JVM 신뢰 저장소를 임의로 변경하지 마십시오.
•
관련 권고 확인: CVE-2026-111943, CVE-2026-113470 및 RHSB-2026-012를 관련 운영 환경과 대조하고 각 공급업체의 조치 지침을 확인해야 합니다.
Sonatype 원문 번역
eMudhra 인증기관 사고: Sonatype의 영향 분석과 대응 지침
Sonatype은 일부 Sonatype 제품과 배포판에서 사용하는 인증서 신뢰 저장소에 영향을 미치는 업계 전반의 eMudhra 인증기관 사고에 대응하고 있습니다. 영향을 받는 구성요소를 업데이트하고 있습니다. 그동안 운영체제, 런타임, 애플리케이션 공급업체가 제공하는 인증서 신뢰 저장소 업데이트를 적용해야 합니다.
사고 개요
2026년 10월 17일, 한 연구자가 eMudhra 중간 인증기관(CA) 8곳의 개인키가 불충분한 난수 무작위성 때문에 복구될 수 있다고 보고했습니다. 영향을 받은 중간 인증기관 중 6곳은 TLS 인증서용이고 2곳은 코드 서명용입니다. 영향을 받은 TLS 개인키를 확보한 사람은 웹사이트나 서비스의 인증서를 만들 수 있으며, 해당 인증서 체인을 여전히 신뢰하는 클라이언트는 이를 받아들일 수 있습니다.
브라우저와 운영체제 공급업체는 영향을 받은 인증서를 차단하기 위한 조치를 취했습니다. 그러나 다른 소프트웨어는 별도 또는 내장된 인증서 신뢰 저장소를 사용할 수 있으므로, 조직은 브라우저와 운영체제 외의 시스템도 확인해야 합니다.
Sonatype 제품에 미치는 영향
Sonatype은 최신 인증서 신뢰 데이터를 포함하는 Docker 이미지 업데이트와 패치 릴리스를 준비하고 있습니다. 아래 표는 영향을 받는 Sonatype 제품과 조치 상태를 보여줍니다. 기존 Docker 이미지와 제품에 포함된 JVM은 자동으로 업데이트되지 않습니다.
자체 관리 환경에서는 해당 업데이트 Docker 이미지나 패치 릴리스가 제공되는 대로 설치해야 합니다.
자체 호스팅 솔루션
제품 | 영향받는 버전 | 조치 상태 |
Sonatype Nexus Repository | 2026년 10월 21일 이전에 릴리스된 모든 버전 | 진행 중 |
Sonatype IQ Server (Lifecycle, SBOM Manager, Firewall, Developer) | 208 및 이전 버전 | 진행 중 |
클라우드 솔루션
제품 | 영향 여부 | 조치 상태 |
Sonatype Nexus Repository | 영향 있음 | 완료 |
Sonatype IQ Server (Lifecycle, SBOM Manager, Firewall, Developer) | 영향 있음 | 완료 |
Sonatype Guide | 영향 있음 | 완료 |
Sonatype 도움말 문서에서 최신 정보를 계속 확인해야 합니다. Sonatype이 해당 제품의 지침을 제공하지 않는 한, 제품에 포함된 JVM 신뢰 저장소를 직접 변경하지 마십시오.
고객이 수행해야 할 조치
고객은 가능한 한 빨리 다음 조치를 수행해야 합니다.
•
브라우저와 운영체제를 신속하게 업데이트합니다.
•
인증서 신뢰 저장소와 해당 저장소를 내장한 컨테이너, 애플리케이션 등의 소프트웨어를 업데이트합니다.
•
eMudhra가 발급한 인증서를 사용하는 시스템을 관리한다면 인증서 제공업체에 문의해 인증서 체인이 영향을 받는지, 인증서 교체나 다른 조치가 필요한지 확인합니다.
•
인증서 검증 경고를 무시하거나 우회하지 않습니다.
향후 계획
Sonatype은 제품과 배포판의 인증서 신뢰 관계를 검토하고 필요한 업데이트를 준비하고 있습니다. 수정된 버전이 제공되면 보안 사고 안내와 관련 제품 업데이트 채널에 제품별 지침을 게시할 예정입니다.
eMudhra 인증기관 사고는 Go 및 관련 생태계 프로젝트에서 CVE-2026-111943으로 추적되고 있습니다. Amazon Linux 패키지의 CVE-2026-113470, Red Hat의 RHSB-2026-012 등 관련 권고도 확인할 수 있습니다. 이러한 식별자는 영향을 받는 소프트웨어와 신뢰 저장소의 문제를 추적하는 데 도움이 되지만, 조치 방법은 제품과 환경에 따라 달라질 수 있습니다.
취약점에 관한 자세한 내용은 Sonatype Guide의 CVE-2026-111943 페이지를 참고하십시오. Sonatype Guide는 무료로 구독할 수 있습니다. 조치할 때는 운영체제, 런타임, 애플리케이션 공급업체의 해당 지침을 따라야 합니다.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide