[공격] 분석 — CVE-2026-50064

• 심각도 high · CVSS 7.8 · EPSS 0.00113 · 악용난이도 hard

• 공격 표면

  • 파일 입출력 인터페이스: Solid Edge UI “Open”, “Import” 메뉴 또는 자동화 API(예: COM)에서 PSM 파일을 파싱함.
  • 노출 엔드포인트: 로컬 파일 시스템 경로, .psm 확장자, 사용자 상호작용(UI R) 필요.

• 트리거 조건

  • 공격자는 특수하게 조작된 PSM 파일을 준비한다.
  • 피해자가 해당 파일을 Solid Edge (버전 < V225.0 Update 15 for SE2025 or < V226.0 Update 7 for SE2026) 에서 열면, 파싱 로직에서 out‑of‑bounds write가 발생한다.

• 공격 단계

  1. 정찰 – 대상 조직에 Solid Edge 사용 여부와 버전 확인(파일 메타데이터, 내부 문서, 소프트웨어 인벤토리).
  2. 초기 접근 – 피싱 이메일·내부 공유 드라이브·악성 웹사이트 등으로 .psm 파일을 전달한다. UI R 요구사항 때문에 사용자가 직접 “열기”를 해야 함. (PR:N, AV:L).
  3. 실행 – 파싱 시 OOB write가 메모리 영역을 덮어써 임의 코드(예: shellcode) 실행, 현재 프로세스 컨텍스트에서 권한 상승 없이 동작. (AC:L, UI:R).
  4. 지속 – 공격자는 악성 DLL/플러그인을 동일 디렉터리에 배치하거나 레지스트리 Run 키에 경로를 추가해 다음 실행 시 자동 로드되게 할 수 있다(추정).
  5. 영향 – 프로세스 권한 내에서 임의 명령 실행, 파일 조작, 네트워크 연결 등 전면적인 RCE 효과.

• CVSS 벡터와 실제 조건 매핑

  • AV:L → 로컬 파일 접근만 필요, 원격 공격자는 파일 전달 수단을 통해 간접적으로 도달.
  • AC:L → 복잡한 조작 없이 단순히 파일을 열면 트리거.
  • PR:N → 인증 불필요, 사용자 권한 그대로 실행.
  • UI:R → 사용자의 클릭/열기가 전제 조건.

악용 가능성: 이 취약점은 AV:L(로컬) · AC:L(낮은 복잡도) · PR:N(권한 없음) · UI:R(사용자 상호작용) 벡터를 갖고 있으므로, 공격자는 대상 시스템에 직접 접근해 악성 PSM 파일만 열면 충분합니다. 즉, 파일을 열도록 유도할 수 있는 피싱 메일이나 내부 공유 드라이브가 주요 초기 진입점이며, 별도의 권한 상승 절차가 필요하지 않아 난이도는 “hard”로 평가되지만 실제 실행 조건은 비교적 단순합니다. EPSS 값 0.00113은 현재까지 관측된 악용 사례가 극히 드물다는 의미이지만, 완전히 무시할 수 없는 실전 위협임을 보여줍니다(소수점 이하까지 유지된 점수를 통해 실제 공격 시도가 존재함을 확인). KEV에 등재되지 않은 것은 아직 대규모 캠페인이나 자동화된 악성코드가 이 취약점을 활용하고 있지 않다는 것을 의미하지만, 개인 혹은 표적 공격자는 여전히 파일 열기만으로 코드 실행이 가능하므로 위험성을 간과해서는 안 됩니다. 공격 표면은 Solid Edge의 PSM 파일 파싱 로직이며, 해당 엔드포인트가 외부에서 전송된 파일을 검증 없이 처리하는 것이 핵심 노출 지점입니다. 따라서 공격자는 “파일 전달 → 사용자에게 열기 유도 → out‑of‑bounds write 트리거” 순으로 체인을 구성하면 코드 실행까지 도달할 수 있습니다.

• 성공 시 공격자는 Solid Edge 프로세스 내에서 임의 코드를 실행한다.
• 동일 사용자 계정으로 파일 열람·수정·삭제가 가능하며, 다른 로컬 애플리케이션에 대한 DLL 인젝션이나 네트워크 연결을 통해 내부망 침투가 가능하다.
• 기업 환경에서는 설계 데이터 유출·변조 위험이 커진다.

• 유형: CWE‑787 (Out‑of‑bounds Write) → 메모리 손상 → Remote Code Execution.
• 일반적 체인 패턴:
  1. 파일 파싱 오류(CWE‑787) → 메모리 오버라이트 → 임의 코드 실행(RCE).
  2. RCE 후 프로세스 인젝션(CWE‑119)·권한 상승(CWE‑269) 등과 결합하면 네트워크 서비스 탈취 가능.
• 현재 알려진 다른 CVE와 직접적인 연계는 확인되지 않았으며, 동일 제품군에서 과거에 DLL Hijacking(예: SolidEdge.dll 로드 경로 조작) 취약점이 보고된 바 있어, 이와 결합하면 지속성 확보가 쉬워진다(추정).

• 프로세스 행동: Solid Edge(*.exe)가 비정상적인 메모리 쓰기/할당 패턴을 보일 때 경보.
• 파일 로드: .psm 파일이 C:\Windows\Temp·네트워크 공유 등 의심 경로에서 열릴 경우 로그에 기록.
• 시그니처 예시:
  • EventID 4688 (새 프로세스 생성) + CommandLine=*solidedge* *.psm*
  • Windows Defender ATP / EDR에서 “Out‑of‑bounds write”와 연관된 AccessViolationException 발생 시.

• 즉시 조치:

  • 해당 버전( SE2025 < V225.0 Update 15, SE2026 < V226.0 Update 7 ) 사용 중이라면 업데이트 적용을 최우선으로 진행한다.
  • 사용자 교육·피싱 방어 강화로 .psm 파일 열기를 최소화하고, 출처 검증이 안 된 파일은 차단한다.

• 근본 해결:

  • 공급업체 패치가 배포될 때까지 애플리케이션 화이트리스트(AppLocker 등)로 Solid Edge 실행을 허용하되, .psm 파일 자동 열기를 비활성화한다.
  • 시스템 레벨에서 DEP/ASLR를 활성화하고, 최신 안티바이러스·EDR 솔루션으로 메모리 손상 시그니처를 모니터링한다.

이 리포트는 다중 소스 교차검증(신뢰도 1.0)과 실측 EPSS 0.00113(백분위 0.01668, 등급 hard)을 기반으로 하며, 규칙 기반 우선순위 결정에 따라 이번 주 내 적용을 권고한다(CVSS 7.8, non‑KEV).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None