CVE-2026-33701

요약

# OpenTelemetry Java Instrumentation RMI 역직렬화 원격 코드 실행 취약점 OpenTelemetry Java Instrumentation은 Java용 OpenTelemetry 자동 계측 및 계측 라이브러리를 제공합니다. 2.26.1 이전 버전에서 RMI 계측은 직렬화 필터를 적용하지 않고 들어오는 데이터를 역직렬화하는 사용자 지정 엔드포인트를 등록했습니다. JDK 16 이하 버전에서 계측된 JVM의 JMX 또는 RMI 포트에 네트워크로 접근할 수 있는 공격자는 이를 악용하여 잠재적으로 원격 코드 실행을 달성할 수 있습니다. 이 취약점을 악용하려면 다음 세 가지 조건이 모두 충족되어야 합니다. 첫째, OpenTelemetry Java 계측이 Java 16 이하에서 Java 에이전트(`-javaagent`)로 연결되어 있어야 합니다. 둘째, JMX/RMI 포트가 `-Dcom.sun.management.jmxremote.port`를 통해 명시적으로 구성되었고 네트워크에서 접근 가능해야 합니다. 셋째, 가젯 체인 호환 라이브러리가 클래스패스에 존재해야 합니다. 이로 인해 계측된 JVM을 실행하는 사용자의 권한으로 임의의 원격 코드 실행이 발생할 수 있습니다. JDK >= 17의 경우 조치가 필요하지 않지만 업그레이드를 적극 권장합니다. JDK < 17의 경우 버전 2.26.1 이상으로 업그레이드하세요. 해결 방법으로는 시스템 속성 `-Dotel.instrumentation.rmi.enabled=false`를 설정하여 RMI 통합을 비활성화할 수 있습니다.

• CVE-2026-33701-Unsafe-Deserialization-in-OpenTelemetry-Java-Agent-RMI-Instrumentation연구

  CVE-2026-33701에 대한 기술 분석: OpenTelemetry Java Agent RMI 계측의 안전하지 않은 역직렬화 취약점으로, 악용 조건, 패치 세부 사항 및 완화 전략을 포함합니다.