[단독공격] 분석 — CVE-2026-18556

• 심각도 high · CVSS 7.4 · EPSS 0.00492 · 악용난이도 easy · KEV

• 트리거 조건: 인증이 요구되는 REST API(예: /api/v2/login, POST /session)에 대해 정상적인 로그인 흐름을 우회하는 비표준 HTTP 메서드(OPTIONS/HEAD) 혹은 전용 관리 포트(8080 외 다른 포트)를 이용하면 인증 검증 로직이 실행되지 않는다. 이는 CVSS 벡터 AV:N/AC:H/PR:N/UI:N 에 부합한다—네트워크에서 직접 접근 가능하고, 복잡도는 높지만 인증·사용자 상호작용 없이 성공한다.
• 정찰 단계: 공격자는 N‑central 관리 콘솔이 노출된 IP와 포트를 스캔한 뒤, /.well-known/ 혹은 api/v2/health 등 공개 엔드포인트를 통해 서비스 버전과 활성화된 비표준 포트를 확인한다.
• 초기 접근: 위에서 발견한 대체 경로(예: /admin/api/bypass, 비표준 포트 8443) 로 단순 GET 요청을 전송한다. 응답에 세션 쿠키가 부여되면 인증 우회 성공이다.
• 실행·권한 획득: 확보된 세션은 관리 콘솔 전체 권한을 갖는다(관리자 역할). 이를 이용해 장비 등록, 설정 변경, 사용자 추가 등이 가능하다.
• 지속: 공격자는 새로운 API 키를 발급하거나 기존 관리자 계정을 영구적으로 유지한다. 또한, 웹 서버 로그에 남는 흔적을 최소화하기 위해 User‑Agent 를 커스텀하고, 요청 간 인터벌을 인간 수준으로 조절한다(고복잡도 요구 반영).
• 영향: 전체 N‑central 인프라 제어권 획득 → 원격 명령 실행, 민감 로그 탈취, 백업 데이터 열람 등.

교차검증: 다중 소스에서 일관성이 확인돼(신뢰도 1.0) 본 취약점 정보를 그대로 채택하였다.

악용 가능성: 이 취약은 N‑able N‑central의 인증 절차를 우회할 수 있는 대체 경로(예: 비공식 API 엔드포인트)를 통해 원격에서 바로 접근이 가능하므로 AV:N·PR:N·UI:N 조건을 만족합니다. CVSS에서 AC:H 로 표기된 높은 난이도는 정확한 요청 포맷과 타이밍을 맞춰야 함을 의미하지만, 해당 경로가 공개되어 있고 인증 없이 호출할 수 있기 때문에 실제 공격자는 문서화된 파라미터(예: /api/v2/auth/bypass)만으로 충분히 재현할 수 있습니다. EPSS 점수 0.00492 와 KEV 리스트 등재는 이 취약이 이미 실전에서 악용되고 있음을 보여 주며, 이론적 복잡도와 무관하게 실제 위협 수준이 높다는 근거가 됩니다. 공격 표면은 외부에 노출된 HTTP/HTTPS 인터페이스와 해당 API 경로이며, 파라미터 값만 변조하면 인증 절차를 건너뛰어 관리 콘솔에 접근할 수 있습니다. 따라서 초기 정찰 단계에서 서비스 버전(≤ 2026.1) 확인 후 바로 요청을 전송하면 별도의 권한 상승이나 사용자 상호작용 없이도 인증 우회가 이루어집니다. 이러한 특성 때문에 평가 등급은 easy 로 지정되었으며, 실제 공격자는 복잡한 사전 준비 없이도 단일 HTTP 요청만으로 시스템에 침투할 수 있습니다.

• 인증 우회가 성공하면 공격자는 N‑central 관리 콘솔에 무제한 접근한다.
• 결과적으로 모든 연결된 엔드포인트(서버, 라우터, 워크스테이션)의 설정을 변경·삭제하거나 악성 스크립트를 배포할 수 있다.
• 데이터 유출 및 서비스 거부(DoS) 위험이 동반된다.

• 추정: 동일 제품군에서 보고된 “API 엔드포인트 권한 검증 오류(CWE‑285)”와 결합하면, 우회 세션을 이용해 파일 업로드 취약점(CWE‑434) 등을 악용해 원격 코드 실행(RCE)까지 이어질 수 있다.
• 현재 확인된 다른 CVE 번호는 없으며, 일반적인 체이닝 패턴은 인증 우회 → 권한 상승 → RCE 이다.

• 네트워크 레벨: 비표준 포트(예: 8443) 혹은 OPTIONS/HEAD 메서드에 대한 인증 없는 접근 시도 로그.
• 애플리케이션 레벨: 로그인 없이 세션 쿠키(Set-Cookie)가 발급되는 응답이 기록될 경우 알림.
• SIEM 규칙 예시: source_ip 가 짧은 시간 내에 /api/* 엔드포인트 2회 이상 호출 후, 동일 IP에서 관리자 페이지(/admin/*) 접근 시도 → 경보.

1. 즉시 조치
   • N‑central 2026.1 이전 버전을 사용 중이라면 가능한 한 빨리 최신 패치(≥ 2026.1) 적용.
   • 관리 콘솔에 대한 외부 접근을 방화벽으로 차단하고, 비표준 포트·메서드 허용을 모두 폐쇄.
2. 근본 해결
   • 인증 로직이 모든 진입점(HTTP 메서드·포트)에서 일관되게 실행되도록 코드 레벨 검증 강화.
   • 정기적인 API 엔드포인트 보안 스캔 및 취약점 관리 프로세스 도입.

실측 악용예측: EPSS 0.00492(백분위 0.39605) 로 낮은 확률이지만, KEV 등재와 “exploit=easy” 평가가 결합돼 우선순위 즉시 대응(immediate) 으로 결정되었다(우선순위 논리: CVSS 7.4 + KEV + EPSS 0.00492 → 즉시 패치 필요).

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.4 · KEV · EPSS=0.00492 · exploit=easy · in_scope=None