[단독분석] 분석 — CVE-2026-9774

• 심각도 medium · CVSS 6.5 · EPSS 0.01195 · 악용난이도 hard

인증된 사용자가 조작된 파일 경로 파라미터를 포함한 updateLicense API 호출을 전송하면, 입력값 검증 부재로 인해 디렉터리 트래버설이 발생한다. 서버는 전달받은 경로를 그대로 파일 삭제 함수에 넘겨 → 임의 파일(예: 설정·로그·실행 파일) 삭제가 이루어진다. 네트워크 접근만 있으면 추가 사용자 인터랙션 없이 수행 가능하다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:H/UI:N은 공격자가 네트워크를 통해 원격으로 접근 가능하고 공격 복잡도는 낮지만, 고권한 인증(예: 관리자 계정)이 필요함을 의미합니다. 따라서 악용하려면 먼저 해당 시스템에 대한 인증된 고권한 계정을 확보해야 하며, 이는 내부 침투나 피싱 등 별도의 사전 단계가 전제됩니다. EPSS 값 0.01195는 약 1% 수준으로 낮지만 완전히 무시할 수 없으며, 현재까지 대규모 야생 악용 사례가 보고되지 않아도 실제 위협 가능성을 배제하지 못합니다. KEV에 등재되지 않은 점은 아직 광범위한 공격이 관측되지

• 기술적 위험

  • 임의 파일 삭제로 인해 서비스 구성 파일, 로그, 실행 바이너리 등이 손상될 수 있다.
  • 핵심 시스템 파일이 사라지면 서비스 중단(DoS) 상황이 발생한다.
  • 취약점 자체는 데이터 유출·시스템 장악을 직접 초래하지 않으며, 기밀성(C) = N, 무결성(I) = H, 가용성(A) = H 로 CVSS 벡터가 정의된다.

• 비즈니스 위험

  • 서비스 가용성 저하로 SLA 위반 및 고객 신뢰도 손상 가능.
  • 로그 파일 삭제 시 보안 사고 조사에 필요한 증거 상실 → 규제·컴플라이언스 리스크 증가.
  • 영향 제품: ATEN Unizon < 2.7.264; 해당 버전을 운영 중인 모든 인프라가 잠재적 노출 대상이다.

• 위험 근거

  • 교차검증 결과 → 다중 소스에서 일관성이 확인됐다(신뢰도 1.0).
  • EPSS = 0.01195 (실측값)이며, 이는 전체 CVSS 점수와 무관하게 현재 실제 악용 가능성은 낮지만 완전히 배제할 수 없음을 의미한다.
  • 우선순위는 “monitor” 로 결정되었으며(규칙 기반: CVSS 6.5 + non‑KEV + EPSS 0.01195 + exploit hard), 즉시 패치를 적용하지 못할 경우 지속적인 모니터링이 필요함을 강조한다.

• 동일한 경로 검증 부재를 이용하는 다른 Path‑Traversal(CWE‑22) 취약점과 유사하게, 파일 삭제 후 권한 상승(예: 시스템 디렉터리의 sudoers 파일 제거)으로 이어질 가능성이 있다. 현재 확인된 직접 연계 CVE는 없으며, 공격자는 자체 스크립트를 통해 추가 악성 행위를 수행할 수 있다.

• 웹 서버 로그: updateLicense 엔드포인트에 /..%2F, ../, 혹은 절대 경로(C:\, /etc/)가 포함된 요청 패턴.
  • 예시 정규식: (?i)\/updateLicense\?.*path=.*(\.\./|\%2e\%2e%2f|[a-z]:\\)
• 파일 시스템 감사: 비정상적인 파일 삭제 이벤트(예: inotify, Windows Security 로그)와 연계.
• IDS/IPS: 경로 트래버설 시그니처 매칭 (네트워크 레벨에서 HTTP 파라미터에 ../ 포함 여부).

1. 즉시 조치

   • 외부 접근이 가능한 경우 updateLicense API를 차단하거나 IP 제한을 적용한다.
   • 해당 엔드포인트 호출 시 경로 검증 로깅을 강화하고, 의심스러운 요청을 실시간 알림으로 전송한다.

2. 근본 해결

   • ATEN에서 제공하는 공식 패치(버전 ≥ 2.7.264) 적용이 최우선이다.
   • 애플리케이션 레벨에서 입력값 정규화·화이트리스트 기반 경로 검증을 구현한다.
   • 운영 체제 차원에서 파일 삭제 권한을 최소화하고, AppArmor/SELinux 등 강제 접근 제어 정책으로 중요한 디렉터리를 보호한다.

3. 추가 방어

   • 정기적인 패키지 업데이트와 취약점 스캐닝을 통해 유사한 경로 검증 결함이 없는지 확인한다.
   • EPSS 및 CVE 피드 모니터링을 지속해 새로운 악용 정보가 공개될 경우 신속히 대응한다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.01195 · exploit=hard · in_scope=None