[공격] 분석 — CVE-2026-3014

• 심각도 critical · CVSS 9.1 · EPSS 0.00539 · 악용난이도 hard

• 공격 표면

  • Milestone XProtect Management Server의 REST‑like API (예: POST /api/v1/config/edit)
  • 입력 파라미터에 명령 문자열(cmd, script 등)을 그대로 실행하는 로직이 존재함 → OS command injection (CWE‑78)

• CVSS ↔ 실제 조건 매핑

  • AV:N : API 엔드포인트가 네트워크에서 직접 접근 가능(기본 포트 8443).
  • AC:L : 단순 HTTP POST/PUT 요청만으로 트리거 가능.
  • PR:H : 실행 전 “편집 권한(edit permission)”을 가진 인증 토큰이 반드시 필요함.
  • UI:N : 사용자 개입 없이 자동화된 스크립트로 이용 가능.

• 공격 단계

  1. 정찰 – 포트·서비스 스캔(Nmap), HTTP / HTTPS 응답 확인 → Management Server API 존재 파악.
  2. 초기 접근 –
     • 내부 피싱, 크리덴셜 스터핑 또는 관리 UI에 삽입된 XSS 페이로드가 세션 쿠키·CSRF 토큰을 탈취해 편집 권한 토큰을 확보(동료 의견 반영).
  3. 실행·권한 획득 – 탈취한 토큰으로 /api/v1/config/edit에 악의적 JSON({"cmd":"powershell -EncodedCommand …"}) 전송 → Management Server 서비스 프로세스(SYSTEM)에서 명령 실행.
  4. 지속 – SYSTEM 쉘을 이용해 Windows Task Scheduler에 작업 등록, 레지스트리 서비스 키 수정 등 영구화 수행.
  5. 영향 – 관리 서버 전체 제어 → 내부 네트워크 다른 시스템으로 추가 RCE·데이터 탈취·파괴 가능.

• 전제조건 및 우회 포인트

  • TLS가 적용돼 있어도 토큰이 유출되면 무결성 검증 없이 인증된 요청을 전송할 수 있음(동료 의견).
  • mTLS 미적용 시 네트워크 스니핑·프레임 삽입 위험 증가 → 방어 우회 가능.

• 근거 – 다중 소스 교차검증 결과(“다중 소스 데이터 일관성 확인됨”)와 EPSS 0.00539(실제 악용 확률은 낮지만 존재)·우선순위 = scheduled(이번 주 내) 를 반영함.

악용 가능성: 이 취약점은 AV:N(네트워크를 통한 원격 접근) + AC:L(공격 복잡도 낮음) 조합으로, 관리 서버 API가 외부에 노출돼 있으면 요청만으로 악용이 가능하다는 점을 의미합니다. 그러나 PR:H(높은 권한 요구) 조건 때문에 공격자는 먼저 “edit” 권한을 보유한 계정을 확보해야 하며, 이는 일반적으로 내부 인증 탈취·권한 상승 또는 부적절한 접근 제어 설정을 통해서만 달성됩니다. 따라서 초기 진입 장벽이 존재해 난이도는 hard으로 평가되지만, 권한을 획득하면 UI:N(사용자 개입 없음) 으로 자동 실행될 수 있어 실제 공격 흐름은 매우 직선적입니다. EPSS 0.00539이라는 값은 현재 관측된 악용 사례가 적지만 완전히 무시할 수준은 아니며, 특정 조직에서 내부 권한을 탈취했을 경우 실전에서 활용될 가능성을 시사합니다. KEV에 등재되지 않은 점은 아직 광범위하게 보고된 공격이 없음을 의미하지만, 취약점 자체가 원격 코드 실행(RCE)을 허용하므로 위협 수준을 낮게 평가해서는 안 됩니다. 노출되는 공격 표면은 관리 서버의 REST‑API 엔드포인트(예: /api/v1/config/edit)와 편집 파라미터이며, 해당 경로를 통해 임의 코드를 삽입·실행할 수 있습니다.

• Management Server 서비스 컨텍스트(SYSTEM)에서 임의 명령 실행 → 전체 XProtect 인프라 제어.
• 로컬 관리자 권한 확보 후 네트워크 전역 접근 가능, 영상 저장소·설정 파일·로그 등 민감 데이터 탈취·삭제.
• 지속화된 악성 작업이 재부팅 시 자동 실행되어 장기 침해 상황 유지.

• CWE‑78 (OS Command Injection) – 현재 API 파라미터 검증 부재와 직접 연결.
• CWE‑20 (Improper Input Validation) 및 CWE‑287 (Improper Authentication) 가 결합될 경우, 인증 토큰 탈취 없이도 초기 접근이 가능해질 수 있음(추정).
• 일반적인 체인: XSS → 세션/CSRF 토큰 탈취 → API 편집 토큰 획득 → 명령 삽입(RCE) → 로컬 권한 상승 → 네트워크 전파.

• /api/v1/config/edit 등 관리 엔드포인트에 cmd, script, command 파라미터가 포함된 비정상 POST/PUT 트래픽.
• Management Server 서비스 계정(MilestoneService 등)으로 생성되는 신규 프로세스, PowerShell·WMIC 실행 이벤트.
• 정상적인 내부 IP에서 외부 C2 도메인(예: *.malicious.com)으로의 급증하는 outbound 연결.

1. Milestone가 제공한 최신 XProtect 버전 및 누적 패치를 이번 주 내에 적용.
2. 편집 권한을 실제 필요 인원에게만 최소화하고, MFA·강력 비밀번호를 적용.
3. API 토큰의 수명 제한·주기적 교체, mTLS 도입으로 인증된 클라이언트만 접근 허용.
4. 관리 서버를 별도 VLAN/방화벽 뒤에 배치하고, 내부 워크스테이션만 API 호출을 허용하도록 네트워크 분리.
5. WAF에서 \b(powershell|cmd|script)\b 등 명령 삽입 패턴 차단 규칙 적용 및 SIEM 연동 실시간 알림 설정.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00539 · exploit=hard · in_scope=None