Amazon ion-java CVE-2026-85786 메모리 증폭 서비스거부 취약점 대응, 1.12.1 미만 영향

AWS 보안 공지에 따르면 Java용 Amazon Ion 구현체인 ion-java에서 고도로 압축된 데이터가 확장되는 과정으로 메모리 사용량을 비정상적으로 키울 수 있는 서비스거부 이슈가 확인됐다. 특히 이전 CVE 대응을 위해 1.12.0에 들어간 GZIP 자동 압축해제 opt-out만으로는 문제가 충분히 해소되지 않아, 라이브러리 버전 점검과 업데이트 여부 확인이 우선 과제가 됐다.

무엇이 바뀌었나

이번 이슈는 CVE-2026-75936에 대한 후속 성격의 취약점이다. AWS는 ion-java 1.12.0에서 추가한 GZIP 자동 압축해제 opt-out 구현이 충분하지 않았다고 설명했으며, 별도 식별자로 CVE-2026-85786을 부여했다.

문제 유형은 고도로 압축된 입력 데이터가 해제되며 메모리 사용량을 급격히 키우는 메모리 증폭 기반 서비스거부다. 애플리케이션이 외부 입력으로 Ion 데이터를 처리하거나, 압축된 페이로드를 수용하는 경로가 있다면 라이브러리 사용 위치를 먼저 확인할 필요가 있다.

영향 버전과 우선 조치

AWS가 제시한 영향 범위는 ion-java 1.12.1 미만이다. 즉 1.12.0도 영향권에 포함되므로, 단순히 이전 CVE 대응을 위해 1.12.0으로 올린 환경이라도 다시 점검해야 한다.

운영 측면의 기본 체크리스트는 명확하다. 먼저 애플리케이션 빌드 파일과 의존성 잠금 파일에서 ion-java 버전을 확인하고, 다음으로 실행 중인 서비스의 포함 라이브러리가 실제로 1.12.1 미만인지 점검한 뒤, 가능하면 권고 범위를 벗어나는 버전으로 업데이트해야 한다.

추가로 표준 배포 이미지, 내부 아티팩트 저장소, CI/CD 캐시, 공용 베이스 이미지에 1.12.0 또는 그 이하 버전이 남아 있지 않은지 확인하는 것이 중요하다. 취약 라이브러리가 템플릿이나 공통 프레임워크에 묶여 있으면 개별 서비스 수정 이후에도 재배포 과정에서 다시 유입될 수 있기 때문이다.

서버·호스팅 운영자가 볼 포인트

이 공지는 특정 IDC 전용 제품 이슈가 아니라 Java 라이브러리 취약점이므로, 직접적인 영향은 ion-java를 애플리케이션에 포함한 서비스에 한정된다. 다만 서버호스팅, 코로케이션, 클라우드 VM 환경에서 고객 업무 시스템이나 내부 API 게이트웨이가 Ion 기반 데이터를 처리한다면 애플리케이션 레벨 점검이 필요하다.

특히 외부에서 전달되는 압축 데이터, 배치 적재 파일, 메시징 파이프라인 입력값을 통해 메모리 사용량이 치솟을 수 있는지 확인하는 것이 실무적으로 중요하다. 일본·국내 리전 여부보다 실제로 ion-java가 배포되어 있는지, 그리고 압축 해제 동작이 서비스 경로에 존재하는지가 우선 판단 기준이다.

핵심 포인트

• 취약점은 Amazon ion-java의 메모리 증폭 서비스거부 이슈다.
• ion-java 1.12.0의 기존 opt-out 구현은 충분하지 않았다.
• 영향 범위는 1.12.1 미만 버전으로 안내됐다.
• 1.12.0으로 이미 대응한 환경도 재점검이 필요하다.
• 애플리케이션 의존성, 표준 이미지, 내부 미러의 잔존 버전 확인이 중요하다.