[공격] 분석 — CVE-2025-46394

• 심각도 low · CVSS 3.2 · EPSS 0.00149 · 악용난이도 hard

• 트리거 조건: tar 아카이브 내 파일 이름에 ANSI Terminal Escape Sequence(예: \x1b[2K, \r)를 삽입하여, 사용자가 tar -tf 등으로 목록을 확인할 때 특정 파일이 화면에서 지워지거나 덮어씌워지도록 유도함.
• 공격 단계:
  1. 정찰/준비: 타겟 시스템이 BusyBox 1.37.0 미만 버전을 사용하는 임베디드 환경인지 확인.
  2. 초기 접근: 특수하게 조작된 .tar 파일을 공격 대상자에게 전달(피싱, 업데이트 파일 위장 등).
  3. 실행/영향: 사용자가 tar -tf 또는 유사한 리스팅 명령어를 실행하면, 터미널 제어 문자가 작동하여 실제 아카이브에 포함된 악성 파일의 존재를 시각적으로 은폐함. (전제: 사용자가 인터랙티브 터미널에서 목록을 확인해야 함)
• 공격 표면: tar 유틸리티의 파일 이름 처리 로직 및 표준 출력(stdout)으로 전달되는 데이터 흐름.
• CVSS 벡터 분석:
  • AV:L: 공격자가 이미 파일을 업로드했거나 사용자가 파일을 다운로드한 로컬 환경 전제.
  • AC:H: 특정 터미널 에뮬레이터의 동작 방식과 사용자의 확인 습관에 의존하므로 성공 확률이 낮음.
  • PR:N / UI:N: 별도 권한은 필요 없으나, 사실상 사용자 인터랙션(파일 확인)이 트리거가 됨.

악용 가능성: 본 취약점은 AV:L 및 AC:H 벡터가 시사하듯, 공격자가 이미 시스템에 로컬 접근 권한을 가졌거나 악성 .tar 파일을 대상 시스템에 업로드시킨 후 실행하도록 유도해야 하는 높은 진입 장벽이 존재합니다. EPSS 수치가 0.00149로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 결함 단독으로 자동화된 대규모 공격이 이루어지고 있지 않음을 의미하지만, 이는 취약점의 부재가 아니라 트리거 조건의 특수성 때문입니다. 공격 표면은 BusyBox tar 유틸리티가 아카이브 내부의 파일명을 처리하는 출력 로직이며, 구체적으로는 터미널 이스케이프 시퀀스(Terminal Escape Sequences)를 포함한 파일명이 표준 출력으로 전달되는 지점이 타겟입니다. 공격자는 특수하게 조작된 아카이브를 생성하여 tar -tf 등의 리스팅 명령 실행 시 특정 파일명이 화면에서 사라지게 함으로써, 관리자의 육안 검사를 우회하는 '은닉' 상태를 만들 수 있습니다. 실전 관점에서 이는 단독으로 RCE를 유발하지는 않으나, 악성 스크립트나 백도어 파일을 아카이브에 숨겨 배포한 뒤 관리자가 파일 목록을 확인했을 때 이를 인지하지 못하게 만드는 사회공학적 기법이나 공급망 공격의 보조 수단으로 악용될 가능성이 큽니다. 결과적으로 난이도는 높으나, 신뢰할 수 없는 아카이브를 처리하는 환경에서는 정찰 및 은닉 단계에서 매우 유용한 전술적 가치를 지닙니다.

• 기술적 위험: 시각적 은폐(Visual Masking). 파일 시스템 자체에서 파일이 사라지는 것이 아니라, 관리자가 목록을 확인할 때만 보이지 않게 하여 악성 파일의 존재를 숨김. 데이터 유출이나 직접적인 RCE를 일으키는 결함은 아님.
• 비즈니스 영향: 신뢰성 저하. 보안 검토 프로세스(예: 배포 전 패키지 리스트 확인)를 우회하여 백도어나 악성 스크립트를 몰래 잠입시킬 수 있는 '심리적/절차적' 취약점으로 작용함.

• 추정 체이닝 경로: Visual Masking $\rightarrow$ Persistence / Stealth Execution.
  • 단독으로는 영향력이 낮으나, tar 압축 해제 시 특정 경로에 파일을 생성하는 다른 취약점(예: Path Traversal)과 결합될 경우, 관리자가 목록 확인을 통해 침투를 감지하는 것을 방해하여 공격 지속성을 높이는 보조 수단으로 활용 가능.
  • 추정: CWE-116 (Improper Encoding/Decoding) 유형의 결함이 터미널 출력 단계에서 발생하는 패턴임.

• 로그 지표: tar -tf 실행 시 표준 출력에 비정상적인 제어 문자(Non-printable characters)가 포함되어 전송되는지 확인.
• 탐지 규칙 예시:
  1. 패턴 매칭: 아카이브 내 파일 이름에 \x1b (ESC) 문자가 포함되어 있는지 검사.
     • grep -P '\x1b' <(tar -tf archive.tar)
  2. SIEM 로직: process_name == "tar" AND args contains "-tf" $\rightarrow$ 출력 스트림 내 \x1b\[[0-9;]*[mK] 패턴 탐지 시 경고.
• 오탐 및 튜닝: 일부 정당한 아카이브가 특수 문자를 포함할 수 있으나, 터미널 제어 시퀀스(ESC [ ...) 형태는 일반적이지 않으므로 해당 정규식으로 필터링하여 오탐을 줄임.

• 즉시(긴급 차단): tar -tf 결과물을 파이프라인을 통해 cat -v 또는 od -c로 전달하여 제어 문자를 가시화하여 확인. (난이도: 하 / 영향: 없음 / 검증: 출력물에 ^[ 표시 확인)
• 단기(완화): 신뢰할 수 없는 소스의 아카이브를 확인할 때 터미널 직접 출력이 아닌 텍스트 파일로 저장 후 에디터에서 확인. (난이도: 하 / 영향: 작업 절차 변경 / 검증: 파일 내 제어 문자 존재 여부 확인)
• 근본(해결): BusyBox 1.37.0 이상 버전으로 업데이트하여 파일 이름 출력 시의 이스케이프 처리 로직 수정 적용. (난이도: 중 / 영향: 펌웨어/OS 업데이트 필요 / 검증: busybox tar --version 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00149, 백분위 0.04532)이 매우 낮아 실제 야생에서의 악용 가능성이 희박함을 근거로 합니다. 이에 따라 CVSS 3.2 및 non-KEV 상태를 반영하여 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=3.2 · non-KEV · EPSS=0.00149 · exploit=hard · in_scope=None