AWS SDK for Rust 관련 CVE-2026-15957, smithy-rs 역직렬화 재귀 처리로 원격 서비스 거부 가능

AWS 보안 공지에 따르면 smithy-rs가 생성한 JSON, CBOR, XML 역직렬화 함수에서 재귀 모델을 처리하는 방식에 문제가 있어, 인증 없이도 작은 요청만으로 프로세스가 중단될 수 있는 서비스 거부 위험이 확인됐다. 직접 영향 대상으로 명시된 것은 aws-sdk-rust crates의 release-2026-06-0 미만 버전이며, Rust 기반 내부 도구나 서비스 구현에 해당 SDK 또는 생성 코드를 포함하고 있다면 즉시 사용 버전과 배포 이미지 잔존 여부를 확인할 필요가 있다.

취약점 핵심과 영향 범위

이번 이슈는 smithy-rs 코드 생성으로 만들어진 역직렬화 로직이 깊게 중첩된 재귀형 데이터를 처리할 때 스택이 소진되며 프로세스가 중단될 수 있다는 점이 핵심이다. 공격 성격은 정보 유출이나 권한 상승보다 가용성 저하에 가깝고, 원문 기준으로는 인증되지 않은 제3자가 작은 요청만으로 서비스 거부를 유발할 수 있는 시나리오가 제시됐다.

AWS가 공지에서 직접 밝힌 영향 범위는 aws-sdk-rust crates의 release-2026-06-0 미만 버전이다. JSON, CBOR, XML 입력을 받아들이는 Rust 기반 서비스나 해당 SDK를 포함한 내부 애플리케이션은 외부 공개 API뿐 아니라 내부 서비스 간 호출 경로도 함께 점검하는 편이 안전하다.

운영자가 먼저 확인할 점

운영 환경에서는 먼저 배포 중인 Rust 애플리케이션이 aws-sdk-rust crates를 포함하는지 확인하고, 포함한다면 버전이 release-2026-06-0 미만인지 식별해야 한다. 패키지 매니페스트뿐 아니라 컨테이너 이미지, 내부 아티팩트 저장소, 표준 배포 템플릿에 남아 있는 의존성도 함께 확인해야 재배포 시 취약 버전이 다시 유입되는 일을 줄일 수 있다.

원문에 제시된 범위 내 대응은 영향 버전 확인 후 권고 기준인 release-2026-06-0 이상으로 업데이트하는 것이다. 이후에는 재귀 구조를 받는 엔드포인트가 있는지 살펴보고, 서비스가 비정상 종료될 때 재시작 정책만으로 가용성을 유지하는 구조인지도 함께 점검할 필요가 있다.

IDC·호스팅 환경에서의 실무 영향

이 이슈는 특정 IDC 전용 제품 문제가 아니라 Rust 기반 애플리케이션과 서비스 구현에 영향을 줄 수 있는 소프트웨어 취약점이다. 다만 서버호스팅이나 코로케이션 환경에서 고객사 또는 내부 운영 도구가 Rust 서비스로 구성돼 있다면, 네트워크 앞단에서 정상으로 보이는 소형 요청이 애플리케이션 프로세스 중단으로 이어질 수 있어 애플리케이션 레벨 로그와 재시작 이벤트를 함께 보는 것이 중요하다.

한국·일본 리전 운영이나 멀티사이트 환경에서는 동일한 표준 이미지가 여러 거점에 복제되는 경우가 많다. 이런 경우 한 곳만 수정하면 끝나지 않으므로 공통 베이스 이미지, CI/CD 파이프라인 의존성 잠금 파일, 내부 미러 저장소에 release-2026-06-0 미만 패키지가 남아 있는지까지 확인해야 운영 편차를 줄일 수 있다.

핵심 포인트

• CVE-2026-15957은 smithy-rs 생성 역직렬화 로직의 재귀 처리 문제로 원격 서비스 거부를 유발할 수 있다.
• 영향 범위는 AWS 공지 기준 aws-sdk-rust crates의 release-2026-06-0 미만 버전이다.
• JSON·CBOR·XML 입력을 처리하는 Rust 기반 서비스와 SDK 사용 애플리케이션의 버전 점검이 필요하다.
• 대응의 핵심은 영향 버전 식별, release-2026-06-0 이상 업데이트, 내부 이미지·미러 잔존 여부 확인이다.