엠투소프트 ERS DataServer·JavaViewer 파일 처리 결함과 업데이트
엠투소프트 ERS DataServer·ERS ReportingServer 엔진(JavaViewer) 보안 업데이트 (2026.11.06)
해설 2026.11.06 · 보호나라 게시 · 우리 확인 2026.11.06 · 출처 KISA 보호나라 「엠투소프트 제품 보안 업데이트 권고」
한 줄 요약 엠투소프트 ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)의 파일 처리 결함에 대해, 제품 계열과 엔진 버전을 구분해 업데이트해야 해요.
무슨 일이 생겼나요
KISA 보호나라가 2026-11-06 엠투소프트 ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)의 업데이트를 권고했어요. 파일을 처리하는 기능을 서류 접수 창구에 비유하면, 이번 업데이트는 그 창구에서 서류를 다루는 과정의 결함을 고치는 조치예요. 다만 어떤 서류를 어떤 방식으로 처리할 때 문제가 생기는지까지 밝혀진 것은 아니에요.
확인된 취약점 유형은 ‘파일 처리 결함’이에요. ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)은 영향받는 버전과 해결 버전이 서로 달라요. 같은 ERS 제품군이라고 해서 어느 한쪽의 버전 번호를 다른 쪽의 업데이트 기준으로 사용하면 안 돼요.
이번 권고에는 CVE 번호가 제시돼 있지 않아요. CVE는 공개된 취약점을 구분하는 식별 번호예요. 번호가 없더라도 제품별 영향 범위와 해결 버전은 명시돼 있으므로, 설치된 제품과 버전을 기준으로 조치 여부를 판단할 수 있어요.
기술적으로는 (초급 개발자용)
기술적으로 확인된 분류는 파일 처리 결함이에요. 파일을 다루는 기능에 문제가 있다는 범위까지 알 수 있지만, 구체적인 처리 단계나 잘못된 동작은 명시돼 있지 않아요. CWE는 소프트웨어 결함의 유형을 분류하는 체계인데, 이번 권고에는 해당 번호나 세부 분류명이 제시돼 있지 않아요.
결함의 세부 원인과 공격 조건도 명시돼 있지 않아요. 어떤 파일이 필요한지, 어떤 기능을 거쳐야 하는지, 인증이나 권한이 필요한지 등을 특정할 수 없어요. 따라서 파일 처리 결함이라는 표현만으로 특정 공격 방식이나 실행 결과를 덧붙여 설명할 수는 없어요.
ERS DataServer는 제품 계열별 버전을 확인해야 하고, ERS ReportingServer 엔진(JavaViewer)은 CROWNIX Report&ERS 계열에 맞는 Java Engine Version을 확인해야 해요. 여기서 Java Engine Version은 권고에 적힌 해당 제품 엔진의 버전 표기예요. ERS DataServer의 버전과 혼동하지 않는 것이 조치의 출발점이에요.
NVD는 공개 취약점 정보를 정리하는 데이터베이스이며, 이번 권고에 연결된 NVD 항목은 제시돼 있지 않아요. CVSS는 취약점의 심각도를 평가하는 점수 체계인데, 이번 결함의 점수는 제시돼 있지 않아 점수에 따른 심각도를 설명할 수 없어요. CISA KEV는 실제 악용이 확인된 취약점을 모아 관리하는 목록이에요. 이번 결함은 CISA KEV 에는 아직 등재되지 않았다.
누가 영향을 받나요
일반 사용자
서비스를 이용하는 일반 사용자는 화면에 보이는 이름만으로 ERS DataServer나 ERS ReportingServer 엔진(JavaViewer)의 설치 여부와 버전을 판단하기 어려울 수 있어요. 이용 중인 서비스에서 이 제품을 사용하는지 확인하려면 운영 담당자에게 해당 제품의 사용 여부와 업데이트 적용 여부를 문의해 보세요.
이번 권고만으로 이용자의 정보가 유출됐거나 서비스에서 피해가 발생했다고 판단할 수는 없어요. 일반 사용자에게 필요한 확인은 자신이 쓰는 서비스의 운영 측에서 해당 제품과 엔진의 영향 범위를 점검했는지예요.
개발자
개발자는 담당 시스템에 포함된 ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)을 구분해 확인해야 해요. 특히 CROWNIX Report&ERS의 제품 계열만 확인하고 끝내지 말고, 권고에서 비교 기준으로 삼은 Java Engine Version까지 확인해야 해요.
파일 처리 결함이라는 설명만으로 애플리케이션 코드를 고쳐 해결됐다고 판단하기는 어려워요. 제품 업데이트를 기준으로 조치하고, 적용 뒤에는 해당 제품이나 엔진을 사용하는 기존 기능이 정상적으로 동작하는지 확인해 주세요.
서버·장비 담당자
서버 담당자는 ERS DataServer의 설치 버전과 ERS ReportingServer 엔진(JavaViewer)의 Java Engine Version을 각각 정리해 주세요. 함께 사용하는 환경이라면 한쪽의 업데이트 완료가 다른 쪽의 조치 완료를 뜻하지 않아요.
해결 버전은 결함이 수정된 버전의 시작점이고, 괄호 안의 최신 버전은 이번 권고에 적힌 최신 버전이에요. 운영 환경에 적용할 버전과 필요한 절차는 제조사 공지에서 확인해야 해요. 여기서 적은 최신 버전을 이후에도 계속 최신인 것으로 해석하면 안 돼요.
지금 할 일
- 먼저 설치된 제품이 ERS DataServer인지 ERS ReportingServer 엔진(JavaViewer)인지 구분하고 버전을 확인해 주세요. JavaViewer는 CROWNIX Report&ERS 계열과 Java Engine Version을 함께 확인하세요. 실제 적용은 제조사 공지의 업데이트 절차를 따르세요.
- ERS DataServer가 6.4.5.494 이하라면 해결 버전인 6.4.5.495 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 6.4.5.506이에요.
- ERS DataServer가 7.4.4.684 이하라면 해결 버전인 7.4.4.685 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 7.4.4.707이에요.
- ERS DataServer가 8.2.2.328 이하라면 해결 버전인 8.2.2.329 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 8.2.2.359이에요.
- ERS ReportingServer 엔진(JavaViewer)이 CROWNIX Report&ERS 6 - Java Engine Version : 5.x 이상 5.5.14.1070 이하에 해당하면, CROWNIX Report&ERS 6 - Java Engine Version : 5.5.14.1071 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 5.5.14.1108이에요.
- ERS ReportingServer 엔진(JavaViewer)이 CROWNIX Report&ERS 7 - Java Engine Version : 7.x 이상 7.4.3.960 이하에 해당하면, CROWNIX Report&ERS 7 - Java Engine Version : 7.4.3.961 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 7.4.3.1109이에요.
- ERS ReportingServer 엔진(JavaViewer)이 CROWNIX Report&ERS 8 - Java Engine Version : 8.x 이상 8.2.0.345 이하에 해당하면, CROWNIX Report&ERS 8 - Java Engine Version : 8.2.0.346 이상으로 업데이트하세요. 이번 권고에 적힌 최신 버전은 8.2.3.664이에요.
바로 업데이트하기 어렵다면
- 바로 업데이트하기 어렵다면 제조사 공지에서 임시 조치 안내를 확인한 뒤, 해당 ERS 제품에 대한 불필요한 접근을 제한하거나 외부 노출을 줄이는 방안을 검토하세요. 이런 접근 관리를 파일 처리 결함 자체를 수정한 것으로 보지는 마세요.
업데이트 후 확인
- 업데이트 후 실제 적용된 ERS DataServer 버전을 다시 확인하고, 사용 중인 제품 계열의 해결 버전 이상인지 비교하세요.
- ERS ReportingServer 엔진(JavaViewer)은 적용 후 Java Engine Version을 다시 확인하세요. CROWNIX Report&ERS의 제품 계열에 맞는 해결 기준과 비교해야 해요.
- 해당 제품이나 엔진을 사용하는 기존 기능이 정상적으로 동작하는지 확인하고, 제조사 공지의 업데이트 절차에 포함된 확인 사항도 수행하세요.
- 확인 결과에는 제품명, 적용 버전, 기능 확인 결과를 함께 남겨 주세요. ERS DataServer와 JavaViewer를 함께 사용한다면 각각의 적용 결과를 구분해 기록하세요.
해외 동향 (NVD·CISA KEV)
CISA의 실제 악용 취약점 목록(KEV)에는 2026.11.06 확인 기준 아직 올라 있지 않아요.
제조사 공식 공지
영향받는 제품과 해결 버전 6줄
| 제품 | 영향받는 버전 | 해결 버전·조치 | CVE |
|---|---|---|---|
| ERS DataServer | 6.4.5.494 이하 | 6.4.5.495 이상 (최신 버전 : 6.4.5.506) | — |
| ERS DataServer | 7.4.4.684 이하 | 7.4.4.685 이상 (최신 버전 : 7.4.4.707) | — |
| ERS DataServer | 8.2.2.328 이하 | 8.2.2.329 이상 (최신 버전 : 8.2.2.359) | — |
| ERS ReportingServer 엔진(JavaViewer) | CROWNIX Report&ERS 6 - Java Engine Version : 5.x 이상 5.5.14.1070 이하 | CROWNIX Report&ERS 6 - Java Engine Version : 5.5.14.1071 이상 (최신 버전 : 5.5.14.1108) | — |
| ERS ReportingServer 엔진(JavaViewer) | CROWNIX Report&ERS 7 - Java Engine Version : 7.x 이상 7.4.3.960 이하 | CROWNIX Report&ERS 7 - Java Engine Version : 7.4.3.961 이상 (최신 버전 : 7.4.3.1109) | — |
| ERS ReportingServer 엔진(JavaViewer) | CROWNIX Report&ERS 8 - Java Engine Version : 8.x 이상 8.2.0.345 이하 | CROWNIX Report&ERS 8 - Java Engine Version : 8.2.0.346 이상 (최신 버전 : 8.2.3.664) | — |
자주 묻는 질문
- Q. CVE 번호가 없으면 업데이트하지 않아도 되나요?
- 아니에요. CVE 번호는 취약점을 구분하는 식별자이고, 이번 권고에는 제품별 영향 범위와 해결 버전이 명시돼 있어요. 설치 버전이 영향 범위에 해당하는지 확인하고 해당 제품 계열의 해결 버전 이상으로 업데이트해야 해요.
- Q. ERS DataServer를 업데이트하면 JavaViewer도 조치된 건가요?
- 그렇게 판단하면 안 돼요. ERS DataServer와 ERS ReportingServer 엔진(JavaViewer)은 서로 다른 버전 기준이 적용돼요. 함께 사용하고 있다면 ERS DataServer의 버전과 JavaViewer의 Java Engine Version을 각각 확인해야 해요.
- Q. 해결 버전과 최신 버전 중 무엇을 기준으로 보면 되나요?
- 영향 범위에서 벗어났는지는 해당 제품 계열의 해결 버전 이상인지로 확인해요. 최신 버전 표기는 이번 권고에 적힌 버전을 뜻해요. 실제로 적용할 버전과 적용 방법은 제조사 공지에서 확인하고, 제조사 공지의 업데이트 절차를 따르세요.
원문·참고 링크
- KISA 보호나라 원문: 엠투소프트 제품 보안 업데이트 권고 (2026년 11월 6일 게시)
- https://support.m2soft.co.kr/bbs/board.php?bo_table=notice&wr_id=61
- https://support.m2soft.co.kr/bbs/board.php?bo_table=notice&wr_id=56
이 글은 KISA 보호나라 보안공지의 사실(제품·버전·CVE·게시일)을 옮겨 정리하고 설명은 폰회선관리가 새로 쓴 것이에요. CVSS 점수·약점 분류는 NVD, 실제 악용 여부는 CISA KEV 공식 데이터에서 가져왔고, 해설은 AI가 이 사실만으로 쓴 뒤 버전·CVE·점수를 원자료와 자동 대조해 통과한 것만 실었어요. 정확한 조치는 제조사 공지가 기준이에요.