[공격] 분석 — CVE-2026-15409

• 심각도 critical · CVSS 10.0 · EPSS 0.7844 · 악용난이도 easy · KEV

• 공격 표면 및 트리거: SMA1000 Appliance Work Place 인터페이스가 핵심 공격 표면이다. 인증되지 않은 원격 공격자가 HTTP 요청의 특정 파라미터에 조작된 URL/IP를 주입하여, 서버가 내부망이나 외부의 의도하지 않은 위치(unintended location)로 요청을 보내게 만드는 SSRF 결함을 이용한다.
• 공격 체인 및 전제 조건:
  1. 정찰: Work Place 인터페이스 노출 여부 확인 $\rightarrow$ 응답 헤더를 통한 모델(SMA 6210, 7210 등) 및 버전 식별. (전제: 장비가 외부망에 노출되어 있거나 공격자가 내부 네트워크에 진입한 상태)
  2. 초기 접근: 인증 없이 SSRF 취약 파라미터에 타겟 주소를 삽입하여 요청 전송. (관측 지표: Work Place 엔드포인트로의 비정상적인 URL 파라미터 유입)
  3. 실행 및 권한 획득: 서버를 프록시 삼아 루프백(127.0.0.1) 또는 내부 관리 API 호출 $\rightarrow$ 세션 토큰, 설정 파일 등 민감 정보 탈취. 특히 클라우드 환경일 경우 메타데이터 엔드포인트(예: 169.254.169.254) 접근을 통해 IAM 역할/자격 증명 획득 시도.
  4. 영향 확대: 탈취한 자격 증명을 이용해 관리자 권한 획득 및 내부망 서비스 탐색(Port Scanning). (전제: DNS 재귀 쿼리나 호스트네임 기반 호출이 허용되는 환경)
• 실현 가능성 분석: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 네트워크 연결만으로 무인증·무상호작용 즉시 실행이 가능함을 의미한다. 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특히 실측값인 EPSS 0.7844(백분위 0.9954)는 이론적 심각도를 넘어 실제 야생에서 악용될 확률이 극도로 높음을 입증한다. KEV 등재 사실과 결합하여 규칙 기반 우선순위에 따라 immediate(24시간 내 조치) 대응이 강제된다.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 아무런 제약 없이 접근 가능한 최악의 조건에 놓여 있습니다. 특히 SMA1000 Appliance의 Work Place 인터페이스라는 공개된 엔드포인트가 직접적인 공격 표면(Attack Surface)이 되며, 특정 파라미터를 통해 서버가 임의의 목적지로 요청을 보내게 만드는 SSRF 트리거 구조를 가집니다. 이론적 심각도를 넘어 EPSS 수치가 0.7844로 매우 높고 KEV에 등재되었다는 점은 이미 공격 도구가 보편화되어 실제 환경에서 빈번하게 악용되고 있음을 증명합니다. 공격자는 정찰 단계에서 Work Place 인터페이스의 노출 여부만 확인하면 즉시 초기 접근이 가능하며, 내부망 스캐닝이나 클라우드 메타데이터 탈취로 이어지는 경로가 매우 짧습니다. 결과적으로 낮은 진입 장벽과 높은 자동화 가능성으로 인해 실전 악용 가능성이 극도로 높은 상태입니다.

• 신뢰 경계 붕괴: 보안 장비가 공격자의 내부망 진입 교두보(Pivot Point)로 전락.
• 권한 탈취: 클라우드 메타데이터 서비스 및 내부 관리 API 접근을 통한 관리자 권한 획득.
• 내부 정찰: 외부에서 차단된 사내 인프라의 가시성 확보 및 취약 서비스 탐색.

• 잠재적 체이닝 경로 (추정):
  1. SSRF $\rightarrow$ 정보 노출(Information Disclosure) $\rightarrow$ 권한 상승: 내부 API를 통해 관리자 세션 ID 또는 구성 파일을 유출시킨 후, 이를 이용해 관리자 페이지에 인증 없이 접근하는 패턴.
  2. SSRF $\rightarrow$ RCE (Remote Code Execution): 추정: 내부망 내 Redis, Memcached 등 인증이 없거나 취약한 서비스에 특수 조작된 요청을 전달하여 원격 코드 실행 유도.
  3. SSRF $\rightarrow$ DNS Rebinding/Recursive Query: 단순 IP 차단을 우회하기 위해 DNS 재귀 쿼리를 활용, 내부 호스트 이름을 통해 사내 서비스를 탐색하고 추가 공격 지점을 찾는 패턴.

• HTTP Request: Work Place 인터페이스 요청 파라미터 내 http://, https://, 127.0.0.1, localhost, 사설 IP 대역(10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) 및 메타데이터 주소(169.254.169.254) 패턴 감시.
• Outbound Traffic: SMA 장비 $\rightarrow$ 내부망/메타데이터 서버로의 비정상적인 Outbound 요청 급증 및 평소 사용하지 않는 포트 통신 확인.

• 근본 해결: 최신 보안 패치가 적용된 펌웨어로 즉시 업데이트(최우선).
• 임시 대응:
  • 외부에서 Work Place 인터페이스 접근을 신뢰할 수 있는 IP로만 제한하는 ACL 설정.
  • 메타데이터 엔드포인트 및 민감 내부 IP 대상 Outbound 트래픽 실시간 로깅 및 차단 규칙 적용.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.7844 · exploit=easy · in_scope=None