Adobe Magento / Commerce 플랫폼에 발생한 치명적 Web API 취약점 “SessionReaper” (CVE-2025-54236)

핵심: Adobe의 Magento / Adobe Commerce 플랫폼에서 발견된 CVE-2025-54236(별칭: SessionReaper)은 Web API의 입력 검증 실패로 인해 사용자 상호작용 없이 세션 탈취(Session Takeover)가 가능한 치명적 취약점입니다. Magento 운영자는 즉시 보안 패치를 적용하고 세션·입력 검증 로직을 점검해야 합니다.

영향 요약

• 취약점: CVE-2025-54236 (ServiceInputProcessor 입력 검증 실패)
• 심각도: Critical (NVD 기준, 높은 점수)
• 영향 버전: Magento / Adobe Commerce 2.4.x 및 일부 이전 패치 버전(2.4.9-alpha2 이전 포함) — 공급사 권고 확인 필수
• 공격 영향: 세션 탈취 → 권한 상승·무단 주문/관리 기능 악용 가능

즉시 실행할 조치 (체크리스트)

• 운영 중인 Magento/Adobe Commerce 버전 확인: 취약 버전 사용 여부 점검
• Adobe 보안 공지에 따른 최신 패치(권고 버전) 즉시 적용
• Web API 입력 검증 로직(특히 ServiceInputProcessor 사용 지점) 재검토
• 세션 관리 정책 점검: 세션 만료·재검증·비정상 세션 탐지 규칙 강화
• WAF 규칙 업데이트 및 EDR/로그 모니터링으로 의심 활동 탐지
• 패치 전후 백업/롤백 계획 점검 및 스테이징 테스트 수행

추가 권고 (장기)

• API 설계 시 입력 검증을 방어적(deny-by-default)으로 적용
• 정기적인 펜테스트로 API 경계 검증
• 보안 공지 자동화: CVE/NVD/GitHub Advisory 구독 및 알림 체계 구축
• 운영자·개발자 대상 피싱·자격증명 관리 교육 강화

한 줄 요약

SessionReaper(CVE-2025-54236)는 Magento의 Web API 입력 검증 실패로 인한 세션 탈취 취약점으로, 즉시 패치와 입력·세션 검증 강화를 권합니다.

---

참고: Adobe 보안 공지 및 NVD(및 관련 보안 리포트)를 확인해 세부 CVE 및 패치 항목을 반드시 검토하세요.

태그: #Magento #AdobeCommerce #SessionReaper #WebAPI취약점 #CVE2025