[방어] 분석 — CVE-2026-10520

• 심각도 critical · CVSS 10.0 · EPSS 0.99889 · 악용난이도 easy · KEV

• 경로: 외부에서 인증되지 않은 사용자가 HTTP 요청을 통해 특정 엔드포인트의 파라미터에 OS 명령어를 주입.
• 원리: 입력값에 대한 적절한 필터링이나 검증 없이 system() 또는 exec()와 같은 쉘 실행 함수로 데이터가 전달되는 OS Command Injection 취약점임.
• 단계: [초기 진입] $\rightarrow$ [특수문자/인코딩을 이용한 입력값 우회] $\rightarrow$ [OS 명령어 주입] $\rightarrow$ [root 권한으로 쉘 획득].

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 악용 가능성은 극도로 높은 상태입니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N이 나타내듯, 공격자는 인증 없이 네트워크를 통해 원격으로 접근할 수 있으며 특별한 사용자 상호작용이나 복잡한 사전 조건 없이도 즉시 트리거가 가능합니다. 특히 EPSS 점수가 0.99889에 달하고 KEV(Known Exploited Vulnerabilities) 목록에 등재되었다는 점은, 이론적 위험을 넘어 이미 실제 환경에서 공격 도구가 유포되고 활발히 악용되고 있음을 입증합니다. 공격 표면은 Ivanti Sentry의 외부 노출 엔드포인트이며, 입력값 검증이 미흡한 특정 파라미터를 통해 OS Command Injection을 유도하는 구조입니다. 결과적으로 공격자는 단순한 HTTP 요청만으로 시스템 최고 권한인 root-level RCE를 달성할 수 있어, 방어자 관점에서는 즉각적인 위협으로 간주해야 합니다.

• 권한 탈취: 서비스 계정이 root 권한으로 동작하므로, 공격 성공 시 즉시 시스템 최고 권한을 획득함.
• 내부 확산: root 권한의 RCE는 단순 서버 장악을 넘어 내부망 내 다른 자산으로 이동하기 위한 Lateral Movement의 최적 교두보가 됨.
• 데이터 유출: 시스템 내 저장된 설정 파일, 인증 정보 및 연동된 AD/LDAP 계정 정보에 무제한 접근 가능함.

• 권한 상승 체이닝: 이미 내부망에 진입한 공격자가 이 취약점을 이용해 root 권한을 획득함으로써 최종 목표(Domain Admin 등)로 가는 경로를 단축할 수 있음.
• OOB 상호작용: DNS/HTTP Out-of-Band 요청을 통해 내부 네트워크 구조를 정찰하는 기법과 연계될 가능성이 높음.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인하였으며, 특히 EPSS 0.99889(실측 악용 예측 최고 수준) 및 KEV 등재 사실에 근거하여 즉시 대응 우선순위로 결정함.

1. 로그 지표 및 탐지 포인트

• Web Server Access Log: POST 요청의 Body 또는 Query String 내 쉘 메타문자(;, |, &, `, $()) 및 명령어 패턴 확인.
• OS Audit/Syslog: 웹 서비스 프로세스(추정: Sentry 관련 바이너리)가 비정상적인 자식 프로세스(sh, bash, cmd, whoami, curl, wget)를 생성하는지 감시.

2. 탐지 규칙 예시

• SIEM (HTTP Payload 패턴)
  SELECT * FROM logs WHERE method='POST' AND (payload REGEXP '(\||;||$(|\b(whoami|id|uname|curl|wget|nc|bash|sh)\b)')`
• EDR/HIDS (Process Tree 감시)
  ParentProcess == "sentry_binary" AND ProcessName IN ("/bin/sh", "/bin/bash", "whoami", "netcat")
• 정규식 (Command Injection 패턴)
  /(?:;|\||&|\x00)\s*(?:\b(id|whoami|uname|cat|ls|wget|curl|nc|python|perl|php|bash|sh)\b)/i

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 정상적인 관리자 스크립트나 API 호출 시 특수문자가 포함된 데이터가 전송될 경우 발생 가능.
• 튜닝 방법: 정적 패턴보다는 sentry_binary $\rightarrow$ sh/bash로 이어지는 프로세스 생성 계층 구조(Parent-Child Relationship)를 우선순위 탐지 지표로 설정하여 정확도를 높임.

패치 전까지 root 권한 획득을 통한 내부망 확산을 차단하는 것이 최우선임.

1. 즉시 (긴급 차단)

• 조치: 외부/DMZ 구간에서 Ivanti Sentry 서비스 포트로의 모든 인바운드 트래픽을 ACL(Access Control List)로 차단하거나, 신뢰된 관리자 IP로만 접근 제한.
• 난이도/영향/검증: 낮음 / 서비스 가용성 일부 제한 / telnet 또는 curl을 통한 외부 접속 불가 확인.

2. 단기 (위험 완화)

• 조치:
  • WAF(Web Application Firewall)에 OS Command Injection 시그니처 적용 및 차단 모드 활성화.
  • 서비스 계정의 권한 검토 및 sudoers 설정 제한 (추정: root 실행 권한을 최소화할 수 있는 설정 확인).
  • root 권한으로 생성된 비정상 프로세스 및 .bash_history 전수 조사(침투 여부 확인).
• 난이도/영향/검증: 중간 / 성능 영향 미미 / WAF 로그의 Block 이벤트 확인.

3. 근본 (해결)

• 조치: 공식 패치 버전(R10.5.2, R10.6.2, R10.7.1 이상)으로 업데이트 수행.
• 난이도/영향/검증: 중간 / 서비스 일시 중단 필요 / 업데이트 후 버전 정보 확인 및 취약점 스캐너 재검사.

잔여 리스크: 패치 적용 전 이미 공격자가 웹쉘(WebShell)을 설치했거나 백도어를 생성했을 가능성이 있으므로, 단순 패치만으로는 부족하며 반드시 시스템 무결성 검사와 프로세스 조사가 병행되어야 함.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99889 · exploit=easy · in_scope=None