Amazon Neptune CVE-2026-110812 취약점 대응, Gremlin 그래프 가져오기 경로의 역직렬화 이슈

AWS는 Amazon Neptune에서 Apache TinkerPop의 Gremlin 기능과 관련된 CVE-2026-110812를 공지했다. 이 이슈는 Neptune 데이터 플레인(쿼리) 권한을 가진 인증된 주체가 특정 조건에서 요청을 보내면, 쿼리 엔진이 신뢰할 수 없는 입력을 안전하지 않게 처리해 쿼리 엔진 환경 내부에서 의도하지 않은 동작으로 이어질 수 있다는 내용이다. 영향 범위는 엔진 버전 1.2.0.0 이상으로 제시됐으며, AWS는 수정이 반영된 엔진 버전으로 업그레이드를 권고했다.

취약점 핵심과 영향 범위

이번 이슈는 Amazon Neptune 자체 전체가 아니라, Gremlin 그래프 가져오기 경로와 연결된 역직렬화 처리 문제에 초점이 맞춰져 있다. 공격 전제조건은 익명 접근이 아니라 인증된 주체이며, 그중에서도 Neptune 데이터 플레인 쿼리 권한을 보유한 계정이나 역할이 요청을 제출할 수 있어야 한다.

운영 관점에서는 외부 노출 여부만 볼 것이 아니라, 누가 Neptune 쿼리 권한을 갖고 있는지와 해당 권한이 애플리케이션 계정, 운영 자동화 계정, 내부 사용자에게 어떻게 분배돼 있는지 함께 확인할 필요가 있다. 특히 그래프 적재·가져오기 기능을 사용하는 환경이라면 실제 사용 경로와 권한 범위를 우선 점검하는 편이 효율적이다.

AWS 권고 사항과 점검 순서

원문 기준 영향 버전은 1.2.0.0 이상이다. AWS는 수정된 엔진 버전 목록으로 업그레이드할 것을 권고했지만, 제공된 본문에는 구체적인 수정 버전 번호가 포함돼 있지 않으므로 실제 적용 대상은 AWS 보안 공지의 최신 엔진 버전 표를 기준으로 확인해야 한다.

운영자는 먼저 Neptune 클러스터의 현재 엔진 버전을 확인하고, 1.2.0.0 이상이면 공지의 수정 버전 해당 여부를 대조하는 것이 좋다. 이어서 권고 버전으로 업그레이드 일정을 잡고, 내부 표준 배포 문서나 자동화 템플릿에 기존 엔진 버전이 남아 있지 않은지 함께 확인해야 한다.

권한 측면에서는 Neptune 데이터 플레인 쿼리 권한을 가진 IAM 주체와 애플리케이션 연결 계정을 식별하고, 불필요한 권한이 남아 있지 않은지 점검하는 것이 현실적인 보완책이 된다. 패치 전까지는 그래프 가져오기 관련 사용 주체를 최소화하고, 변경 작업 계정과 서비스 계정을 분리해 노출면을 줄이는 접근이 적절하다.

국내·일본 운영 환경에서 볼 포인트

이 사안은 관리형 데이터베이스 서비스의 엔진 취약점 공지이므로, 한국 IDC나 일본 IDC에서 직접 장비를 운영하는 형태의 물리 인프라 이슈와는 성격이 다르다. 다만 Neptune을 사용하는 서비스가 국내외 리전과 연계돼 있다면, 클러스터 엔진 버전 표준화와 계정 권한 관리 절차는 공통 운영 과제로 볼 수 있다.

서버호스팅이나 코로케이션 사업자 자체의 설비 문제가 아니라, AWS 상의 그래프 데이터베이스 워크로드를 운영하는 팀의 보안 점검 항목에 가깝다. 따라서 네트워크 장비나 호스팅 서버 전체로 의미를 확대하기보다, Neptune 사용 여부와 Gremlin 가져오기 경로 사용 여부를 정확히 식별하는 것이 우선이다.

핵심 포인트

• CVE-2026-110812는 Amazon Neptune의 Gremlin 그래프 가져오기 경로와 관련된 역직렬화 이슈다.
• 공격에는 인증된 주체와 Neptune 데이터 플레인(쿼리) 권한이 필요하다.
• 영향 버전은 1.2.0.0 이상으로 제시됐으며 AWS는 엔진 업그레이드를 권고했다.
• 운영자는 엔진 버전 확인, 수정 버전 적용, 쿼리 권한 보유 주체 최소화를 우선 점검해야 한다.