[분석가] 분석 — CVE-2026-59309

• 심각도 critical · CVSS 9.8 · EPSS 미확보 · 악용난이도 easy

• 네트워크에 접근 가능한 공격자는 VMware vCenter의 Directory Service에 특수한 LDAP/HTTP 요청을 전송하여 인증 절차를 우회합니다.
• 성공 시 인증 없이 세션 토큰을 획득하고 vCenter 관리 API(예: /rest/com/vmware/cis/session)를 자유롭게 호출할 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 원격 네트워크에서 접근 가능하고 복잡도가 낮으며 권한이 전혀 필요 없고 사용자 상호작용도 요구되지 않음을 의미합니다. 따라서 공격자는 vCenter 관리 인터페이스에 네트워크 연결만 확보하면 추가 인증 없이 취약점을 이용할 수 있습니다. 현재 EPSS 점수가 제공되지 않고 KEV 목록에도 등재되지 않아 공개적인 악용 사례는 관측되지 않았지만, 위와 같은 낮은 난이도 조건 때문에 잠재적 위험성은 여전히 존재합니다. 공격 표면은 VMware Directory Service가 노출되는 HTTPS 엔드포인트(예: https://<vcenter>/directoryservice)이며, TCP 443 포트를 통해 인증 요청을 우회하는 형태로 작동합니다. 트리거 조건은 공격자가 해당 vCenter에 대한 네트워크 접근 권한을 보유

• 기술적 위험
  • 인증 우회를 통해 공격자는 vCenter 콘솔 및 API에 완전한 관리자 권한을 얻어 가상 머신 생성·삭제·스냅샷 조작 등 전반적인 인프라를 장악할 수 있습니다.
  • 민감 데이터(VM 이미지, 설정 파일) 유출 및 서비스 중단이 발생할 가능성이 높습니다.
• 비즈니스 위험
  • 가용성 손실 → 업무 연속성 위협, SLA 위반.
  • 기밀·무결성 침해 → PCI‑DSS, GDPR 등 규제 위반 위험.
  • 기업 신뢰도 및 평판 하락.
• 영향 제품·노출 규모
  • 영향을 받는 정확한 버전은 공개되지 않았으나, Directory Service가 활성화된 모든 VMware vCenter 인스턴스가 대상이며, 네트워크에 노출된 경우 모두 위험에 처합니다.

• 인증 우회 후 획득한 세션 토큰을 이용해 기존에 보고된 vCenter 권한 상승(CVE‑2023‑20867 등)이나 원격 코드 실행 취약점을 추가로 악용할 수 있습니다.
• 따라서 다른 vCenter 관련 CVE와의 연계 공격이 현실적으로 가능함을 유념해야 합니다.

• 로그 기반: Directory Service( LDAP )에 대한 비정상적인 바인드 시도·성공 로그, 특히 인증 정보 없이 BindRequest가 발생한 경우 경보.
• API 모니터링: /rest/com/vmware/cis/session 엔드포인트에 대한 무인 호출 또는 급증하는 토큰 생성 이벤트를 감시.
• 네트워크 IDS/IPS: “POST /vsphere-client/*”와 같은 비정상적인 HTTP 패턴(예: Authorization: 헤더가 없고 세션 쿠키가 바로 반환되는 트래픽) 탐지 서명 적용.

• 즉시 조치
  • 신뢰할 수 없는 네트워크(인터넷·외부 LAN)에서 vCenter 서비스로 향하는 모든 트래픽을 방화벽 또는 IP‑ACL 로 차단합니다.
  • Directory Service가 필요하지 않은 경우 비활성화하고, 관리 콘솔 접근을 내부 전용 서브넷으로 제한합니다.
• 근본 해결
  • VMware에서 제공하는 공식 패치를 적용할 때까지 임시 방어계층(WAF/IPS) 규칙을 최신 상태로 유지합니다.
  • 서비스 계정 및 관리자 계정에 다중 인증(MFA)을 도입하고, 최소 권한 원칙에 따라 역할을 재설계합니다.
  • 인증 우회 시도와 비정상적인 API 세션 생성을 실시간으로 알림하는 SIEM 규칙을 배포합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None