[단독분석] 분석 — CVE-2026-83549

• 심각도 high · CVSS 7.8 · EPSS 0.01625 · 악용난이도 easy · KEV

• 인증된 관리자 계정으로 SMA1000 Appliance Management Console(AMC)에 로그인 후 특수 문자 포함 입력이 충분히 검증되지 않아 OS 명령어가 그대로 실행됨.
• 취약점은 “Improper Neutralization of Special Elements used in an OS Command” (OS Command Injection)이며, 공격자는 POST‑auth 요청에 조작된 파라미터를 삽입해 임의 쉘 명령을 수행한다.
• Exploit 난이도는 easy 로 평가되며, CVSS 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 에 따라 내부 네트워크 혹은 원격 LAN 접근만으로 실행 가능하다.

악용 가능성: 이 취약점은 AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 개입 없음)이라는 CVSS 벡터에 따라, 인증된 세션만 있으면 별도의 물리적 접근이나 추가 조작 없이 바로 악용이 가능합니다. 실제 공격자는 관리자 권한을 획득한 뒤, SMA1000 Appliance Management Console의 특정 HTTP 엔드포인트(예: /api/command)에 특수 문자를 포함한 파라미터를 전송하면 OS 명령이 그대로 실행되는 OS Command Injection 경로를 이용합니다. 이 엔드포인트는 관리 콘솔 UI와 API 모두에서 노출되어 있어, 내부 사용자뿐 아니라 인증 정보를 탈취한 외부 공격자도 동일하게 접근할 수 있습니다. EPSS 값이 0.01625(≈1.6 %)이며 KEV에 등재된 점은, 이론적 심각도와 무관하게 실제 악용 사례가 보고되고 있음을 의미합니다. 따라서 인증만으로 명령 실행이 가능한 상황은 공격 난이도를 “easy”로 평가하는 규칙과 일치하며, 취약점 자체가 매우 낮은 장벽을 제공한다는 점을 강조할 수 있습니다. 이러한 조건을 종합하면, 해당 제품을 운영 중인 조직에서는 사전 인증 절차와 관리자 계정 보호에 특히 주의를 기울여야 합니다.

• 기술적 위험
  • 성공 시 공격자는 시스템 레벨 쉘 권한을 획득해 임의 명령·스크립트를 실행할 수 있다(전형적인 RCE).
  • 악용된 경우 관리자 권한으로 파일 시스템 접근, 서비스 재시작/중단, 추가 백도어 설치 등이 가능하다.
• 비즈니스 위험
  • 가용성: 핵심 보안 어플라이언스가 중단되면 네트워크 트래픽 검사·필터링이 차단돼 서비스 장애 발생 가능.
  • 규제/컴플라이언스: 금융·보건 등 민감 데이터 보호 의무가 있는 조직은 보안 장비 조작으로 인한 데이터 무결성·기밀성 위협을 받을 수 있다.
  • 신뢰도: 고객 및 파트너에게 보안 사고 공개 시 평판 손실 위험이 존재한다.
• 영향 제품·노출 규모 (다중 소스에서 일관성이 확인됐다)
  • SonicWall SMA8200V < 12.4.3‑03526, SMA8200V 12.5.0‑12.5.0‑02952, SMA8200V 전체 라인
  • SonicWall SMA6210_firmware < 12.4.3‑03526, SMA6210_firmware 12.5.0‑12.5.0‑02952, SMA6210 전체 라인
  • SonicWall SMA7210_firmware < 12.4.3‑03526, SMA7210_firmware 12.5.0‑12.5.0‑02952, SMA7210 전체 라인
  • 위 제품군은 전 세계 다수 기업·기관에 배포돼 있어 공급망 차원의 광범위 노출이 예상된다.

• 동일한 AMC 웹 인터페이스에서 입력 검증 미비가 다른 관리 명령(예: 설정 변경, 파일 업로드)과 결합될 경우 권한 상승·권한 위임 체이닝이 가능할 수 있다.
• 현재 확인된 구체적 CVE 번호는 없으며, 추후 공개되는 인증 우회 취약점과 연계될 위험을 고려한다(추정).

• AMC 로그인 후 비정상적인 POST 요청에 포함된 ;, &&, ` 등 쉘 메타문자가 존재하는 경우.
• 시스템 로그에서 root 혹은 admin 권한으로 실행된 비정형 명령어(예: wget, curl, nc)가 기록될 때.
• IDS/IPS 시그니처 예시: GET|POST .*\/amc\/.*\?(cmd|action)=.*[;&&] (정규식 형태)

• 즉시 조치
  • 영향을 받는 SMA 제품을 최신 펌웨어(12.5.0‑02953 이상)로 업데이트한다.
  • 관리 콘솔 접근을 내부 IP 범위에 한정하고, 다중 인증(MFA)을 적용한다.
  • 불필요한 관리자 계정을 비활성화하고 강력한 복잡도 비밀번호 정책을 시행한다.
• 근본 해결
  • SonicWall에서 제공하는 공식 패치를 적용하면 입력 검증 로직이 강화되어 OS Command Injection 위험이 제거된다.
  • 패치 적용 후 재시작 및 정상 동작 확인 테스트를 수행한다.

본 보고서는 다중 소스 교차검증(일관성 확인), 실측 EPSS 0.01625(실제 악용 가능성을 독립적으로 평가)와 KEV 등재·Exploit 난이도 easy 를 기반으로 한 규칙 기반 우선순위 결정(즉시 대응 필요)을 근거로 작성되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=0.01625 · exploit=easy · in_scope=None