AWS 신뢰 번들 eMudhra 중간 CA 키 복구 이슈, CVE-2026-111943 대응 점검

AWS는 외부 인증기관 eMudhra/emSign의 키 생성 결함으로 중간 CA 개인키가 복구 가능해진 CVE-2026-111943를 공지했다. 문제의 루트는 AWS 소유 신뢰 번들에 포함돼 있었고, 소프트 페일 방식의 TLS 클라이언트에서는 중간자 공격 위험이 생길 수 있어 AWS가 해당 루트 제거에 나섰다.

영향 범위: AWS 신뢰 번들에 포함된 루트 3종

AWS가 밝힌 영향 대상은 AAA Certificate Services, emSign Root TLS CA - G3, emSign ECC Root CA - G3의 3개 루트다. 이번 이슈의 핵심은 개별 서버 제품 취약점이 아니라, AWS가 제공하는 신뢰 번들 안에 포함된 외부 CA 체인의 신뢰 문제가 발생했다는 점이다.

따라서 운영자는 애플리케이션 자체 버전보다 먼저 현재 사용 중인 서버 인증서가 어느 루트까지 체인되는지 확인해야 한다. 특히 외부 연동 구간에서 CA 체인을 명시적으로 관리하지 않거나, 표준 이미지·배포 템플릿에 오래된 인증서 구성이 남아 있는 환경은 확인 우선순위를 높일 필요가 있다.

우선 점검이 필요한 서비스

AWS는 CloudFront 커스텀 오리진과 ALB의 OIDC·JWT 인증 사용 고객을 직접 언급했다. 이 조합에서는 인증서 체인 검증 결과가 서비스 연동 안정성에 바로 영향을 줄 수 있어, 적용 전후 동작 차이를 운영 관점에서 점검해야 한다.

국내·일본 IDC나 코로케이션 환경에서 AWS와 하이브리드로 연결된 원본 서버를 운영한다면, CloudFront 뒤 오리진 인증서가 영향 루트로 이어지는지 확인하는 것이 실무적으로 중요하다. ALB를 인증 프런트로 사용하는 경우에도 외부 IdP 또는 JWT 검증 관련 체인이 문제 루트에 닿는지 점검해야 한다.

운영자가 바로 할 일

1) 현재 사용 중인 인증서가 영향 루트 3종 중 하나로 체인되는지 확인한다. 2) 영향이 확인되면 다른 CA로 인증서를 재발급한다. 3) CloudFront 커스텀 오리진과 ALB OIDC·JWT 인증 설정에 연결된 인증서 참조값을 함께 점검한다. 4) 내부 미러, 골든 이미지, 자동 배포 스크립트에 기존 체인 정보가 남아 있지 않은지 확인한다.

이번 공지는 AWS가 루트를 제거하는 방향으로 조치 중이라는 점이 중요하다. 운영 현장에서는 단순히 신규 인증서만 발급하는 데 그치지 말고, 신뢰 저장소 변경 이후 핸드셰이크 실패나 인증 연동 오류가 발생할 수 있는 구간을 사전에 식별해야 한다.

소프트 페일 TLS 클라이언트가 특히 주의할 점

AWS는 소프트 페일 TLS 클라이언트에서 중간자 공격 위험을 언급했다. 이는 인증서 검증 실패를 엄격히 차단하지 않는 클라이언트나 연동 구성에서 위험이 상대적으로 커질 수 있음을 뜻한다.

서버호스팅이나 사설망 연동 환경에서는 오래된 에이전트, 내장형 라이브러리, 예외 처리된 TLS 검증 로직이 남아 있는 경우가 있다. 이번 사안은 공개 서비스뿐 아니라 관리망·API 연동 구간까지 포함해 신뢰 체인과 검증 정책을 함께 재점검하는 계기로 볼 수 있다.

핵심 포인트

• AWS는 CVE-2026-111943와 관련해 eMudhra/emSign 계열 루트 3종을 AWS 신뢰 번들에서 제거하고 있다.
• 영향 루트는 AAA Certificate Services, emSign Root TLS CA - G3, emSign ECC Root CA - G3다.
• CloudFront 커스텀 오리진과 ALB OIDC·JWT 인증 사용자는 인증서 체인을 우선 확인해야 한다.
• 영향이 있으면 다른 CA에서 인증서를 재발급하고 자동화 배포 자산에 남은 기존 체인도 함께 점검해야 한다.