What is Never-Ending Support (NES) for Apache CXF?

HeroDevs에서 제공하는 Apache CXF 3.4.x 및 3.5.x의 유지보수 빌드입니다. 보안 수정 사항은 최신 업스트림 릴리스인 3.4.10 및 3.5.11의 포크에 반영되며, 동일한 org.apache.cxf 좌표와 NES 버전 문자열로 배포되므로, BOM 버전 하나만 변경하면 그 외에는 아무것도 변경할 필요가 없습니다.

Which Apache CXF versions does NES support?

두 가지 계열이 있습니다: 3.4.x(3.4.10에서 분기됨)와 3.5.x(3.5.11에서 분기됨). 두 계열 모두 Java 8이 필요하며 javax.* 네임스페이스를 유지합니다. CXF 3.6, 4.0, 4.1 및 4.2는 NES 계열이 아닙니다.

What does drop-in replacement mean here?

그룹 ID와 아티팩트 ID는 변경되지 않습니다. NES 버전의 org.apache.cxf:cxf-bom을 가져오고, HeroDevs 레지스트리를 추가한 다음 다시 빌드하면 됩니다. 애플리케이션 코드, 구성 및 WSDL 계약은 그대로 유지됩니다.

What does NES for Apache CXF actually patch?

CXF 자체 코드 내 OAuth2 및 OIDC 필터, JMS 전송, WS-Security 및 STS, XML 및 WSDL 파싱, 첨부 파일 처리, Netty HTTP 클라이언트 등에서 발견된 CVE입니다. 수정 사항별 VEX 설명이 포함된 최신 목록은 취약점 디렉터리와 docs.herodevs.com의 릴리스 노트에서 확인할 수 있습니다.

Why can't we just move to CXF 4.x?

CXF 4.0은 jakarta.* 네임스페이스로 이동했으며, 4.1에서는 최소 지원 버전이 Java 17로 상향 조정되었기 때문에, 모든 javax 임포트와 Java 런타임이 함께 변경됩니다. CXF 3.6은 javax를 유지하지만 Java 11이 필요합니다. 애플리케이션이 Java 8에 고정되어 있다면, 마이그레이션 없이는 적합한 업스트림 버전이 없습니다.

Does NES for Apache CXF help with compliance?

각 패치에는 HeroDevs VEX 문과 스캐너가 인식할 수 있는 NES 버전 문자열이 포함되어 있으며, 이는 PCI DSS, SOC 2, HIPAA, NIS2, DORA 및 EU CRA에 따라 감사관이 요구하는 증거 자료입니다. HeroDevs는 CVE 번호 부여 기관입니다.

Is NES a permanent alternative to upgrading?

NES는 3.4 및 3.5 버전이 생산 단계에 있는 한 해당 버전에 대한 패치를 계속 제공합니다. CXF 4.x로의 마이그레이션은, 언젠가 이루어지게 될 때, 보안 사고가 발생한 상황이 아니라 안전한 기준선에서 시작됩니다.

Apache CXF - Never-Ending Support (NES)

보안, 규정 준수, 비즈니스 연속성 — 이 모든 문제를 한 번에 해결합니다

지원 종료된 Apache CXF 버전을 안전하게 대체할 수 있는 당사의 솔루션을 사용하면, 스캐너가 지원 종료된 Apache CXF 버전에서 발견된 CVE를 더 이상 경고하지 않게 됩니다.

보안

Apache CXF 3.4.x 및 3.5.x 버전에는 더 이상 업스트림 보안 수정 사항이 제공되지 않습니다. NES는 유지보수되는 빌드를 배포하여, 프레임워크에 새로 발견된 CVE가 누적되지 않고 바로 패치되도록 하고 있습니다.

SLA에 기반한 패치 배포는 심각도에 따라 결정됩니다

HeroDevs는 발견된 취약점을 공개하는 공인 CVE 번호 부여 기관입니다.

규정 준수

Apache CXF용 NES의 모든 릴리스에는 HeroDevs VEX 문이 포함되어 있으며, CVE 하나당 하나씩 제공되어 수정 사항이 포함된 정확한 아티팩트와 버전을 명시합니다.

SOC 2, PCI DSS, HIPAA, FedRAMP, ISO 27001, NIS2 등

감사인을 위한 문서화된 패치 내역

비즈니스 연속성

Apache CXF의 모든 유지보수 대상 버전은 최소 Java 11이 필요하며, 4.x 버전의 경우 jakarta.* 네임스페이스로 전환해야 합니다. 애플리케이션이 Java 8에서 실행되는 경우, 전환할 수 있는 업스트림 버전이 없습니다. NES는 사용자가 마이그레이션을 진행하는 동안 해당 버전을 계속 지원합니다.

이전을 완료하기까지 수개월 또는 수년의 여유가 있다

이주 비용이나 침해 사고 발생 비용의 일부에 불과합니다.

Apache CXF 3.4 및 3.5는 더 이상 업스트림 릴리스를 제공받지 않습니다. 3.5 버전의 마지막 패치는 2025년 3월에 출시된 3.5.11이었고, 3.4 버전의 마지막 패치는 2022년 12월에 출시된 3.4.10이었습니다. 그 이후에 발표된 모든 CXF 보안 권고문은 3.6 및 4.x 버전에 대한 수정 사항만 포함하고 있습니다. 두 버전 라인 모두 현재 최종 업스트림 릴리스에 패치되지 않은 CVE가 포함되어 있습니다.

저희가 배포하는 모든 패치에는 공개된 CVE 항목이 포함되어 있습니다.

HeroDevs는 CVE 프로그램의 승인을 받은 공인 CVE 번호 부여 기관(CNA)으로, HeroDevs가 발견한 보안 취약점에 대해 CVE ID를 부여할 권한을 가지고 있습니다.

모든 NES for Apache CXF 릴리스에는 CVE당 하나씩, 수정 사항이 포함된 정확한 아티팩트와 버전을 명시하는 HeroDevs VEX 문이 포함되어 있습니다.

현재 구버전의 Apache CXF를 사용 중이라면, 귀하의 애플리케이션은 아래의 취약점에 노출되어 있습니다. NES for Apache CXF는 이러한 취약점을 단 몇 분 만에 해결합니다.

17건의 CVE가 해결되었으며, 그 수는 계속 늘어나고 있습니다.

심각도

CVE

카테고리

영향을 받는 버전

게시 날짜

낮음

CVE-2026-108039

서비스 거부

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

낮음

CVE-2026-86463

정규식 서비스 거부

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

Medium

CVE-2026-78384

서비스 거부

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

Medium

CVE-2026-100227

서명 위조

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

높음

CVE-2026-79650

URL 리디렉션/오픈 리디렉션

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

높음

CVE-2026-97791

인증 우회

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

낮음

CVE-2026-73179

인증 우회

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

높음

CVE-2026-107938

잘못된 인증서 검증

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 14일

높음

CVE-2026-97468

약한 인증

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 9일

낮음

CVE-2026-71575

인증 우회

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 9일

낮음

CVE-2026-107937

서비스 거부

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

2026년 10월 9일

높음

CVE-2026-57818

인증 우회

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

높음

CVE-2025-23184

서비스 거부

<3.5.10, >=3.6.0 <3.6.5, >=4.0.0 <4.0.6

2026년 10월 1일

Medium

CVE-2024-32007

서비스 거부

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

2026년 10월 1일

중요

CVE-2024-28752

서버 측 요청 위조

<3.5.8, >=3.6.0 <3.6.3, >=4.0.0 <4.0.4

2026년 10월 1일

높음

CVE-2026-65432

XML 외부 엔티티 참조에 대한 부적절한 제한

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

Medium

CVE-2026-44618

XML 외부 엔티티 참조에 대한 부적절한 제한

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026년 10월 1일

중요

CVE-2026-66909

원격 코드 실행

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

Medium

CVE-2026-50634

서명 위조

>=3.0.3 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

중요

CVE-2026-68079

인증 우회

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

높음

CVE-2026-50631

부적절한 동기화를 동반한 공유 리소스를 이용한 동시 실행

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

높음

CVE-2026-54225

서비스 거부

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

높음

CVE-2026-57817

데이터 신뢰성 검증 불충분

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

높음

CVE-2026-64958

서비스 거부

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

중요

CVE-2026-44930

정보 노출

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026년 10월 1일

높음

CVE-2026-57819

서비스 거부

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

Medium

CVE-2026-50629

로그 주입

>=3.1.7 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

중요

CVE-2026-50627

인증 우회

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

Medium

CVE-2026-50630

콘텐츠 스푸핑

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

높음

CVE-2026-50645

서비스 거부

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

중요

CVE-2026-61466

인증 우회

>=3.1.8 <3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 10월 1일

중요

CVE-2026-49875

XML 외부 엔티티 참조에 대한 부적절한 제한

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

높음

CVE-2026-50633

원격 코드 실행

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 10월 1일

높음

CVE-2024-29736

서버 측 요청 위조

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

2026년 9월 29일

높음

CVE-2026-50632

원격 코드 실행

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 9월 29일

중요

CVE-2025-48913

원격 코드 실행

<3.6.8, >=4.0.0 <4.0.9, >=4.1.0 <4.1.3

2026년 9월 29일

Medium

CVE-2026-50623

인증 우회

>=3.1.5 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 9월 26일

높음

CVE-2026-68481

인증 우회

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 9월 26일

중요

CVE-2026-65583

약한 인증

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 9월 26일

높음

CVE-2026-44417

원격 코드 실행

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

2026년 9월 26일

중요

CVE-2026-50628

인증 우회

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 9월 26일

중요

CVE-2026-63687

인증 우회

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 9월 26일

심각도

ID

카테고리

영향을 받는 버전

게시 날짜

중요

CVE-2026-50628

인증 우회

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

2026년 9월 26일

중요

CVE-2026-63687

인증 우회

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

2026년 9월 26일

지원 받기

전체 목록 보기

Apache CXF용 NES가 제공하는 기능

업스트림에서 3.4.10 및 3.5.11 버전을 위해 공개한 모든 org.apache.cxf 런타임, 전송, 보안, 툴링 및 통합 아티팩트는 NES 좌표 하에 공개됩니다. 테스트 하네스, 아키타입 및 OSGi 통합 테스트는 고객에게 공개되는 것이 아니므로 표시되지 않습니다.

핵심 및 수송 수단

cxf-core

cxf-rt-transports-http

cxf-rt-transports-jms

cxf-rt-transports-http-netty-client

cxf-rt-transports-http-jetty

cxf-rt-transports-http-undertow

SOAP 및 WS-*

cxf-rt-frontend-jaxws

cxf-rt-bindings-soap

cxf-rt-데이터바인딩-jaxb

cxf-rt-wsdl

cxf-rt-ws-보안

cxf-rt-ws-rm

cxf-rt-ws-transfer

cxf-services-sts-core

REST 및 JAX-RS 보안

cxf-rt-frontend-jaxrs

cxf-rt-rs-client

cxf-rt-rs-보안-oauth2

cxf-rt-rs-보안-SSO-OIDC

cxf-rt-rs-보안-jose-jaxrs

cxf-rt-rs-security-xml

cxf-rt-rs-확장-검색

통합

cxf-spring-boot-starter-jaxws

cxf-spring-boot-starter-jaxrs

cxf-spring-boot-autoconfigure

cxf-통합-cdi

cxf-통합-jca

툴링 제작

cxf-codegen-플러그인

cxf-java2ws-플러그인

cxf-wadl2java-플러그인

cxf-wsdl-validator-plugin

모든 표준, 프레임워크 또는 규정에 대해 타당한 답변을 제시합니다.

EOL 소프트웨어는 전 세계 규제에 따른 패치 관리 기대치를 저해합니다. NES는 정기적인 유지보수가 이루어지고 공급업체의 지원을 받는 빌드를 제공하며, 확약된 SLA와 문서화된 패치 이력을 통해 감사관 및 규제 당국에 규정 준수 여부를 입증할 수 있도록 지원합니다.

PCI DSS

미국

요구사항 6.3.3에 따르면, 알려진 중대 및 고위험 취약점은 30일 이내에 패치해야 합니다. 업스트림 패치가 제공되지 않는 지원 종료(EOL) 상태의 Apache CXF를 사용할 경우 규정 준수 요건을 충족하지 못하게 됩니다. NES는 패치 경로를 복원합니다.

HIPAA

미국

지원되지 않는 프레임워크를 사용하면 ePHI를 처리하는 시스템에 대해 합리적인 보안 조치를 마련하기 어렵습니다. NES는 적극적인 유지 관리와 위험 완화를 제공합니다.

SOC 2

글로벌

신뢰 서비스 기준은 취약점에 대한 적시적인 조치와 패치 관리를 요구합니다. EOL(지원 종료) 의존 항목은 이를 보완할 수 있는 지원 경로가 없는 한, 감사 과정에서 중대한 지적 사항으로 제기됩니다. NES가 바로 그러한 지원 경로입니다.

NIS2

EU

제21조는 패치, 취약점 및 공급망 관리를 다룹니다. 유지보수 및 지원 체계가 없는 EOL(지원 종료) 소프트웨어를 계속 사용하면 위험이 발생하며, NIS2는 운영자가 이러한 위험을 적극적으로 완화할 것을 요구합니다.

DORA

EU

DORA는 수명 종료(EOL) 소프트웨어를 금융 ICT 자산의 복원력 취약점으로 간주합니다. NES는 지속적으로 유지 관리되는 빌드와 문서화된 패치 관리 프로그램을 제공합니다.

사이버 복원력법

EU

디지털 요소가 포함된 제품의 소프트웨어 수명 주기 보안을 관리합니다. NES는 보장 기간 동안 EOL(제품 수명 주기 종료) 상태인 Apache CXF 제품군에 대해 유지보수 및 패치가 적용된 빌드를 제공합니다.

NIST CSF 2.0

미국

PR.PS-02 지침에 따르면, 조직은 위험 수준에 따라 취약점이 있는 소프트웨어를 적극적으로 유지 관리하거나 제거해야 합니다. NES를 사용하면 강제 업그레이드 없이도 규정 준수를 달성할 수 있습니다.

FedRAMP

미국

지속적인 모니터링은 정해진 주기에 따라 결함을 수정할 것을 요구합니다. 패치가 적용되고 공급업체가 지원하는 빌드는 ISSO가 지원 종료(EOL)된 Apache CXF를 인증 영역 내에 계속 유지할 수 있는 근거가 되는 문서화된 수정 절차를 제공합니다.

상업 계약

글로벌

취약점 및 구성 관리 통제 조치에는 기술적 취약점을 파악하고 소프트웨어를 보안 기준 범위 내에 유지하는 것이 필요합니다. NES는 지원 종료(EOL) 소프트웨어에 대해 이러한 보안 상태를 복원합니다.

당사는 오픈소스 엔지니어 및 생태계 기여자들과 협력하여, ‘Never-Ending Support’ 제품이 원본에서 기대해 오셨던 것과 동일한 품질을 유지하도록 보장합니다.

해당 프로젝트에 대한 깊은 전문 지식을 갖춘 엔지니어들을 참여시킴으로써, 당사는 오픈소스 소프트웨어 유지보수의 새로운 기준을 제시하며, ‘NES for Apache CXF’가 이를 기반으로 하는 업스트림 기술만큼이나 신뢰할 수 있도록 보장합니다.

우리는 오픈 소스에 기여합니다

오픈소스 유지보수자들은 매우 중요한 일을 하고 있지만, 이에 대한 보상을 받는 경우는 거의 없습니다.

HeroDevs는 이러한 현실을 바꾸기 위해 2,000만 달러를 투자하고 있습니다. 생태계를 유지하는 개발자와 프로젝트에 2,500달러에서 25만 달러에 이르는 보조금을 지원합니다.

우리는 유지보수가 중단된 코드베이스에 대한 패치를 작성하고, 그 누구도 주목하지 않았던 취약점을 찾아내며, 서둘러 코드를 재작성하지 않고도 핵심 시스템을 안전하게 가동해 왔습니다. 이 기금은 그러한 노력을 바탕으로 마련된 것으로, 유지보수자들이 자신들이 가장 잘하는 일을 계속할 수 있도록 돕기 위함입니다.

자세히 알아보기 →