[공격] 분석 — CVE-2025-13465

• 심각도 medium · CVSS 5.3 · EPSS 0.01535 · 악용난이도 moderate

• 트리거 조건: 애플리케이션이 사용자 입력값(JSON, Query String 등)을 검증 없이 _.unset() 또는 _.omit() 함수의 path 인자로 전달할 때 발생. 특수하게 조작된 경로(__proto__ 등)를 통해 전역 Object prototype의 메서드를 삭제 가능.
• 공격 단계:
  1. 정찰: 대상 서비스가 lodash 4.17.22 이하 버전을 사용하는지 확인 및 사용자 입력이 _.unset/_.omit으로 전달되는 엔드포인트 식별.
  2. 초기 접근: HTTP 요청의 파라미터나 JSON 바디에 Prototype Pollution 페이로드(예: {"path": "__proto__.toString"})를 주입.
  3. 실행/영향: 서버 측에서 해당 함수가 실행되며 전역 prototype에서 특정 메서드가 삭제됨. (주의: 덮어쓰기가 아닌 '삭제'만 가능)
  4. 결과: 이후 해당 메서드를 참조하는 모든 로직에서 TypeError 또는 정의되지 않은 동작이 발생하여 서비스 장애 유도.
• 공격 표면: 사용자 입력이 직접적으로 객체 경로를 결정하는 API 엔드포인트, 설정 업데이트 기능, 필터링/제외 옵션을 제공하는 쿼리 파라미터.
• CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N은 인증 없이 네트워크를 통해 매우 낮은 난이도로 공격 가능함을 의미함. 다만 I:L(무결성 낮음)과 C:N/A:N은 데이터 탈취나 완전한 시스템 장악보다는 기능 파괴에 초점이 맞춰져 있음을 시사함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 가리키듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 입력값을 전달하는 것만으로 트리거할 수 있어 진입 장벽이 매우 낮습니다. 공격 표면은 _.unset 또는 _.omit 함수에 사용자 제어 입력(JSON payload 등)이 직접 전달되는 API 엔드포인트나 파라미터이며, 특히 동적 경로를 처리하는 로직에서 취약점이 노출됩니다. 비록 EPSS 수치가 0.01535로 낮고 KEV에 등재되지 않아 즉각적인 대규모 공격 사례는 드물지만, 이는 공격 난이도가 높아서가 아니라 Prototype Pollution을 통해 실제 서비스 장애나 권한 상승으로 연결하는 '체이닝' 과정의 복잡성 때문입니다. 본 취약점은 속성을 덮어쓰는 것이 아니라 삭제(Deletion)하는 특성을 가지므로, 단독으로는 단순한 DoS(Denial of Service)에 그칠 가능성이 높습니다. 그러나 전역 프로토타입에서 핵심 메서드를 제거함으로써 애플리케이션의 보안 검증 로직을 무력화하거나, 특정 라이브러리의 예외 처리 루틴을 강제로 타게 만드는 방식으로 다른 취약점과 체이닝될 때 실질적인 위협이 됩니다. 결과적으로 공격 난이도는 매우 낮으나, 실제 악용 가능성은 해당 함수가 서버 측에서 어떻게 사용되는지와 후속 체이닝 경로의 존재 여부에 달려 있습니다.

• 기술적 위험:
  • DoS (Denial of Service): 전역 prototype의 필수 메서드(예: toString, valueOf)를 삭제하여 애플리케이션 전체의 런타임 에러 유발 및 프로세스 크래시 발생.
  • 로직 우회: 보안 검증 로직에서 특정 메서드의 존재 여부를 확인하거나 활용하는 경우, 이를 제거함으로써 예상치 못한 조건 분기 진입 가능.
• 비즈니스 영향: 핵심 기능 마비로 인한 서비스 가용성 저하 및 사용자 경험 훼손. 대규모 라이브러리 사용 특성상 노출 범위가 매우 넓음.

• 취약점 체이닝 (추정): 본 CVE는 값의 '변경'이 아닌 '삭제'만 가능하므로 단독으로 RCE를 일으키기는 어려움. 하지만 다음과 같은 체이닝 경로가 추정됨:
  • DoS $\rightarrow$ Fail-open: 특정 보안 필터나 검증 함수(Prototype 메서드 기반)를 삭제하여, 시스템이 에러 발생 시 기본값으로 '허용'하는 설정(Fail-open)일 경우 인증 우회로 이어질 수 있음.
  • Prototype Pollution (Deletion) $\rightarrow$ Logic Manipulation: 애플리케이션 내부에서 if (obj.method) 형태로 기능을 체크할 때, 이를 삭제하여 비정상적인 코드 경로를 강제 실행하게 만드는 패턴.

• 로그 지표: HTTP 요청 바디 및 쿼리 스트링 내에 __proto__, constructor, prototype과 같은 키워드가 포함된 요청 로그.
• 탐지 규칙:
  1. WAF/IDS 패턴: (.*\b(__proto__|constructor|prototype)\b.*) 정규식을 사용하여 인입 트래픽 모니터링.
  2. SIEM 로직: SELECT * FROM logs WHERE request_body LIKE '%__proto__%' AND (endpoint LIKE '%update%' OR endpoint LIKE '%filter%')
  3. 런타임 감시: Node.js 환경에서 전역 Object prototype의 메서드 삭제 여부를 주기적으로 체크하는 헬스체크 스크립트 운용.
• 오탐 시나리오 및 튜닝: 정상적인 JSON 데이터 내에 해당 단어가 포함된 경우 오탐 발생 가능. 요청 경로(Path)와 매칭되는 특정 API 엔드포인트로 탐지 범위를 한정하여 튜닝 필요.

• 즉시 (긴급 차단): WAF에서 __proto__, constructor 문자열이 포함된 입력을 차단하는 Rule 적용. (난이도: 하 / 영향: 낮음 / 검증: 페이로드 전송 시 403 확인)
• 단기 (완화): 입력값에 대한 Schema Validation(예: Joi, Zod)을 도입하여 __proto__ 등 예약어 진입 차단. (난이도: 중 / 영향: 보통 / 검증: 유효성 검사 로그 확인)
• 근본 (해결): lodash를 4.17.23 버전으로 업데이트. (난이도: 하 / 영향: 낮음 / 검증: npm list lodash 또는 yarn list lodash로 버전 확인)

[파이프라인 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.01535, 백분위 0.71872)를 바탕으로 실제 악용 가능성을 Moderate 등급으로 평가했습니다. CVSS 5.3의 이론적 수치보다 실측 기반의 EPSS 및 AV:N/AC:L 특성을 고려하여 우선순위를 'scheduled(이번 주 내)'로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.3 · non-KEV · EPSS=0.01535 · exploit=moderate · in_scope=None