[단독분석] 분석 — CVE-2026-34492

• 심각도 미상 · CVSS 미상 · EPSS 0.00267 · 악용난이도 hard

공격자는 외부 입력을 통해 파일명이나 경로를 조작하고, 디렉터리 트래버설(../) 등을 이용해 시스템이 허용하지 않은 위치의 파일에 접근·수정할 수 있습니다. 이 과정은 웹 인터페이스나 API 등 파일명을 직접 받아들이는 엔드포인트에서 발생하며, 성공 시 임의 파일 쓰기 또는 기존 파일 덮어쓰기가 이루어집니다.

악용 가능성: 이 취약점은 네트워크를 통한 파일명·경로 입력(AV = Network)만으로는 공격이 성립하지 않으며, 인증된 계정이 필요하고(Pr = Low) 추가적인 사용자 조작(UI = Required)이 요구되기 때문에 실제 공격 복잡도가 높아 Hard 등급을 유지합니다. EPSS 값이 0.00267로 매우 낮고 KEV 목록에 등재되지 않은 점은 현재까지 야생에서 악용된 사례가 거의 없으며, 이론적 심각도와는 별개로 실질적인 위협도가 제한적임을 뒷받침합니다. 공격자는 Airwall 관리 인터페이스(예: HTTP / HTTPS 기반 REST API)의 파일 업로드 엔드포인트에 조작된 파일명·경로를 전달해야 하며, 해당 파라미터가 외부에서 직접 제어될 수 있는 경우에만 트리거됩니다. 따라서 공격 표면은 버전 4.1 이전의 Airwall 제품이 제공하는 웹 UI 혹은 API / 파일 전송 서비스에 국한됩니다. 이러한 조건을 만족하려면 사전에 인증된 계정 확보와 함께, 파일명·경로 파라미터를 조작할 수 있는 입력 경로를 정확히 파악해야 하므로 공격 난이도가 높게 평가됩니다. 결과적으로 현재 관측된 악용 사례가 거의 없으며, 실제 위험도는 낮은 편에 속합니다.

• 기술적 위험

  • 인증 우회 없이 파일 시스템에 임의 파일을 생성·수정할 수 있어, 악성 스크립트 삽입·서비스 거부(DoS) 등으로 이어질 가능성이 있습니다.
  • Airwall은 빌딩 자동화·보안 관제와 연계된 중앙 관리 서버이므로, 조작된 파일이 설정 파일이나 로그 파일일 경우 시스템 동작을 왜곡하거나 인증 정보를 탈취할 위험이 존재합니다.

• 비즈니스 영향

  • 가용성: 핵심 제어 파일이 손상되면 건물 자동화 서비스가 중단될 수 있습니다.
  • 규제·컴플라이언스: 시설 관리 시스템에서 보안 설정이 무결성을 잃으면 산업 안전 규정 위반 위험이 발생합니다.
  • 신뢰도: 고객 및 운영 담당자의 신뢰 저하와 계약상 서비스 수준 협약(SLA) 위반 가능성이 있습니다.

• 영향 제품·노출 규모

  • 영향을 받는 제품은 Johnson Controls Airwall의 4.1 이전 버전이며, 해당 버전을 사용 중인 모든 현장(빌딩, 캠퍼스 등)이 잠재적 대상이 됩니다. 구체적인 설치 규모는 공개되지 않았으나, 다중 소스에서 일관성이 확인된 바와 같이 다수의 기업 고객에게 배포된 것으로 추정됩니다.

• 동일한 파일 경로 검증 부재를 이용하는 다른 Path‑Traversal(CWE‑22) 취약점과 연계될 수 있습니다.
• 조작된 파일을 통해 실행되는 로컬 권한 상승(LPE) 또는 원격 코드 실행(RCE) 취약점과 체이닝하면 전체 시스템 장악으로 확대될 위험이 존재합니다.

• 웹 서버·API 로그에 비정상적인 ../ 혹은 절대 경로(C:\, /etc/) 문자열이 포함된 파일명 요청이 기록되는 경우.
• Airwall 서비스가 예상치 못한 파일 생성·수정 이벤트를 발생시킬 때의 파일 시스템 감시(예: OSSEC, Sysmon) 알림.
• 파일 무결성 검사 도구가 핵심 설정 파일 해시 변조를 탐지하면 경보로 활용 가능.

1. 즉시 조치

   • 입력값에 대한 화이트리스트 기반 파일명·경로 검증을 적용하고, ../ 등 디렉터리 트래버설 문자열을 차단합니다.
   • 파일 시스템 감시 및 무결성 검사 도구를 활성화하여 비정상적인 파일 접근·수정을 실시간으로 모니터링합니다.

2. 근본 해결

   • Johnson Controls에서 제공하는 최신 패치를 적용하고, 4.1 이상의 버전으로 업그레이드합니다.
   • 보안 정책에 “파일 경로 검증”을 명시하고 정기적인 코드 리뷰·취약점 스캔을 수행합니다.

근거: 교차검증 결과 다중 소스에서 일관성이 확인되었으며, EPSS 0.00267(백분위 0.18561)이라는 실측 악용 예측 수치는 현재 위험도가 낮지만 ‘hard’ 등급의 exploit 난이도로 인해 지속적인 모니터링이 필요함을 시사합니다. 우선순위는 “monitor”로 결정되었으며, 이는 CVSS 점수 부재·KEV 미등재·EPSS 0.00267·exploit hard·in_scope None이라는 규칙 기반 판단에 근거합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00267 · exploit=hard · in_scope=None