[공격] 분석 — CVE-2026-65309

• 심각도 high · CVSS 7.5 · EPSS 0.00152 · 악용난이도 moderate

• 공격 전제: 대상 시스템에 직접 접근 가능한 네트워크(예: LAN) 또는 원격 관리 인터페이스가 노출돼 있어 저장소 파일이나 트래픽을 읽을 수 있는 권한이 필요함.
• 정찰:
  • 서비스 스캔 → HIPASE‑250 장비의 웹/REST 관리 포트 확인 (보통 TCP 80·443).
  • 프로토콜 분석 → 평문 혹은 자체 암호화된 패스워드 전송 형식 식별.
• 초기 접근:
  • 네트워크 스니핑(패킷 캡처) 또는 파일 시스템 접근 권한 획득(예: SMB 공유, SSH 등).
  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 부합하는 무인 원격 접근이 가능하면 바로 진행.
• 실행·권한 획득:
  • 저장소(예: SQLite DB, XML 파일)에서 password 필드 추출 → 역변환 로직은 단순 XOR/BASE64 등으로 공개돼 있음(문서에 명시).
  • 역변환 함수 적용 후 평문 비밀번호 복구.
• 지속: 복구된 계정으로 관리자 UI에 로그인 → 추가 백도어 설치 혹은 정기적인 크리덴셜 덤프 스케줄링.
• 영향: 모든 사용자 계정 비밀번호가 유출되며, 특히 관리자·운영자 계정이 노출될 경우 설비 제어 명령(시작/중지)까지 탈취 가능.
• 공격 표면:
  • 관리 웹 UI /login, /api/auth 등 인증 요청 파라미터.
  • 내부 파일 경로 C:\ProgramData\HIPASE\credentials.db (예시).

악용 가능성: CVSS AV:N·AC:L·PR:N·UI:N 은 원격 네트워크만으로, 인증·사용자‑인터랙션 없이도 공격을 시작할 수 있음을 의미하므로, 접근 장벽이 거의 없는 “low” 난이도로 평가됩니다. 다만 EPSS 0.00152(≈0.15 %)는 현재 실제 악용 사례가 매우 드물다는 통계적 근거이며, KEV에 등재되지 않은 점은 공개된 익스플로잇이 아직 존재하지 않음을 시사합니다. 따라서 이 취약점은 “moderate” 등급을 유지하지만, 공격자는 credential store(예: 로컬 파일·데이터베이스) 혹은 네트워크 트래픽(평문 전송 프로토콜)을 직접 읽어야만 저장된 비밀번호를 복호화할 수 있습니다. 노출되는 엔드포인트는 로그인 API, 설정 관리 UI, 그리고 SCADA 시스템 간에 사용되는 TCP/UDP 포트이며, 파라미터로는 사용자명·비밀번호 필드가 그대로 전송됩니다. 공격 흐름은 ① 정찰 단계에서 서비스와 저장소 위치를 식별 → ② 네트워크 스니핑 또는 파일 접근을 통해 암호화되지 않은 비밀 데이터를 획득 → ③ 복구된 평문 비밀번호로 추가 시스템에 무단 로그인·권한 상승을 수행하는 형태입니다. 이러한 체인은 별도의 권한 상승 취약점이 없어도, 단순히 저장소/트래픽 접근만으로 전체 계정 정보를 탈취할 수 있다는 점에서 실전 위험성을 갖습니다.

• 저장된 모든 사용자 비밀번호가 복구되어 계정 탈취·권한 상승이 즉시 가능함.
• 관리 계정이 유출될 경우 설비 가동/중지, 설정 변경 등 물리적 위험으로 확대됨.

• 정보 노출 → 권한 상승 패턴: 비밀번호 저장소가 역변환 가능한 형태이면, 해당 정보를 이용해 관리자 계정에 로그인하고, 이후 시스템 내부에서 실행 파일 교체나 서비스 재시작 등으로 RCE를 달성할 수 있음.
• 추정: 동일 제품군에서 과거에 발견된 CWE‑256(Plaintext Storage of a Password) 유형과 유사하게 연계될 가능성이 높음.

• 네트워크 트래픽 중 password= 파라미터가 평문 혹은 알려진 인코딩 형태로 전송되는 패턴 감시.
• 파일 무결성 모니터링: credentials.db·유사 파일에 대한 읽기/복제 시도 로그 기록.

• 즉시: 관리 인터페이스 접근을 내부 IP대역으로 제한하고, 모든 트래픽을 TLS 1.2 이상으로 암호화한다.
• 근본: 공급업체에서 제공하는 패치를 적용하거나, 비밀번호 저장 방식을 일방향 해시(SHA‑256+salt)로 전환한다.
• 보조: 기존 계정 비밀번호를 강제 재설정하고, 다중 인증(MFA)을 도입한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00152 · exploit=moderate · in_scope=None