[공격] 분석 — CVE-2026-12578

• 심각도 미상 · CVSS 미상 · EPSS 0.00146 · 악용난이도 hard

• 트리거 조건: 제품이 외부에서 전달받은 직렬화된 객체(예: Java ObjectInputStream, .NET BinaryFormatter, PHP unserialize) 를 검증 없이 역직렬화할 때 발동한다.
• 공격 표면:
  • HTTP POST/PUT 본문에 application/octet-stream 혹은 application/java-serialized-object 등 직렬화 데이터 전송
  • RPC 프레임워크(gRPC, Thrift) 의 메서드 파라미터로 전달되는 바이너리 객체
  • 메시지 큐(Kafka, RabbitMQ) 에 삽입된 직렬화 페이로드
• 단계 흐름:
  1. 정찰 – 서비스가 어떤 직렬화 포맷을 사용하는지 확인(응답 헤더, 오류 메시지, 문서).
  2. 초기 접근 – 위 표면 중 하나에 조작된 객체를 전송. 공격자는 Gadget 체인을 사전에 구축해 java.lang.Runtime.exec·.NET Process.Start 등을 호출하도록 설계한다(추정: 일반적인 gadget 라이브러리 활용).
  3. 실행·권한 획득 – 역직렬화 시점에 악성 객체가 실행돼 임의 코드를 시스템 권한으로 실행(보통 애플리케이션 사용자 권한).
  4. 지속 – 생성된 프로세스가 백도어를 열거나, 파일을 배치해 재시작 시 자동 실행하도록 만든다.
  5. 영향 – 원격 코드 실행(RCE) → 데이터 탈취·서비스 방해·추가 침투 등.
• CVSS 벡터 매핑(추정): AV:N/AC:L/PR:N/UI:N (네트워크를 통한 직접 전송, 낮은 난이도, 인증 불필요). 실제 제품에 따라 달라질 수 있다.

악용 가능성: 이 취약점은 네트워크(AV = Network) 경로를 통해 직렬화된 데이터를 전송할 수 있는 엔드포인트가 노출될 경우에만 이용 가능하므로, 공격자는 해당 서비스의 URL과 파라미터 구조를 사전에 정찰해야 합니다. 직렬화 객체를 정확히 조작해야 하는 난이도(AC = High)와, 일부 구현에서는 인증된 사용자(PR = Low) 혹은 인증 없이(UI = None) 접근이 가능하므로, 실제 공격자는 인증 여부에 따라 사전 계정 확보가 필요하거나 불필요할 수 있습니다. EPSS = 0.00146이라는 실측값은 현재 악용 사례는 드물지만, 여전히 0.1% 수준의 발생 가능성이 존재함을 의미하며, KEV에 등재되지 않은 점은 아직 공개된 공격 코드가 없다는 것을 보여줍니다. 트리거 조건은 HTTP POST/PUT 요청 본문 혹은 특정 쿼리 파라미터(예: payload, data)에 조작된 직렬화 스트림을 삽입하는 것이며, 해당 엔드포인트가 외부 네트워크에 직접 노출돼 있으면 공격 표면이 크게 확대됩니다. 따라서 초기 정찰 → 악의적 객체 전송 → 역직렬화 실행 → 임의 코드 실행이라는 일련의 체인에서 가장 큰 걸림돌은 정확한 직렬화 포맷을 재현하고, 필요 시 인증 절차를 우회하거나 합법적인 세션을 확보하는 단계입니다. 이러한 조건이 충족될 경우, 이론적 ‘hard’ 등급이 실제로도 높은 난이도와 제한된 악용 가능성을 동시에 내포함을 이해하시면 됩니다.

• 성공 시 공격자는 대상 시스템에서 임의 코드를 실행한다. 이는 데이터베이스 접근, 내부 네트워크 스캔, 파일 조작·삭제, 서비스 중단 등 전반적인 보안 위협을 초래한다.

• 유형: CWE‑502 (Deserialization of Untrusted Data).
• 전형적 체인:
  • 정보 노출 → 직렬화 포맷 및 클래스 구조 파악 → 권한 상승(gadget 활용) → RCE.
  • 다른 취약점이 존재한다면(예: 인젝션, SSRF) 해당 입력을 통해 악성 객체를 전달하는 경로가 마련될 수 있다(추정).

• 로그: 역직렬화 시도에 대한 예외(InvalidClassException, SerializationException) 혹은 비정상적인 클래스 로드 기록.
• 네트워크: 대용량 바이너리 페이로드가 특정 엔드포인트(/api/deserialize, /rpc/*) 로 전송되는 패턴.
• IDS/EDR 시그니처 예시: payload contains "java.io.ObjectInputStream" 또는 "\xAC\xED\x00\x05"(Java 직렬화 마법사) 와 함께 비정상적인 HTTP 메서드 사용 감지.

• 즉시 조치
  • 해당 엔드포인트에 대한 트래픽을 차단하거나 입력 형식을 JSON/XML 등 안전한 포맷으로 전환.
  • 의심되는 직렬화 라이브러리를 비활성화하고, ObjectInputFilter(Java)·BinaryFormatter 대체(System.Text.Json) 등을 적용.
• 근본 해결
  • 제품 공급업체가 제공하는 패치를 신속히 적용하거나, 자체적으로 안전한 역직렬화 로직을 구현한다.
  • 코드 리뷰 시 CWE‑502 검증 규칙을 강화하고, 허용된 클래스 화이트리스트를 유지한다.

근거: 본 보고서는 다중 소스 교차검증(신뢰도 1.0)으로 일관성을 확인했으며, EPSS = 0.00146(실측 악용 예측)과 “hard” 난이도 판단에 따라 우선순위는 monitor 로 설정되었습니다. 이는 CVSS 점수가 없고 KEV에도 등재되지 않은 상황에서도 실전 악용 가능성을 지속적으로 감시해야 함을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00146 · exploit=hard · in_scope=None