[공격] 분석 — CVE-2025-7639

• 심각도 high · CVSS 7.1 · EPSS 0.00498 · 악용난이도 hard

• 전제 조건

  • 네트워크 접근 가능(AV:N) + “DNA Authority – Operator” 권한을 가진 인증 계정 보유(PR:L).
  • CVSS 벡터 AV:N/AC:H/PR:L/UI:N가 의미하듯, 공격은 네트워크를 통해 이루어지지만 직렬화 객체 조작에 높은 복잡도가 필요함. (교차검증: 다중 소스에서 일관성이 확인됐다)

• 공격 표면

  • SCADA 시스템이 수신하는 직렬화 API/서비스(예: /api/deserialize, SOAP, gRPC 등).
  • 파라미터는 base64 혹은 binary 형태의 직렬화 payload.

• 정찰 단계

  • 엔드포인트 리스트와 해당 서비스가 직렬화를 사용한다는 문서·오류 메시지 수집.
  • 오류 응답(“Invalid object”)을 통해 허용 클래스 목록 추정.

• 초기 접근

  • 인증된 “Operator” 계정으로 정상 요청을 전송, 세션 쿠키/토큰 확보.

• 실행·권한 획득

  • 알려진 Java/.NET gadget chain을 변조해 악의적 객체를 직렬화하고, 위 API에 전송.
  • 서비스가 역직렬화 시 공격자가 지정한 클래스(예: Runtime.exec) 를 실행 → 코드가 “DNA Apps” 보안 그룹 권한으로 동작(I:H/A:H).

• 지속·영향

  • 악성 코드를 DNA Apps 전용 디렉터리에 배치하거나, Windows 서비스/cron 작업을 생성해 지속화.
  • SCADA 제어 명령 변조, 데이터 유출, 시스템 중단 등 고위험 결과 도출.

• 실측 악용예측

  • EPSS=0.00498(실측값)로 현재 관측된 실제 악용 확률은 낮지만, CVSS 7.1·인증 필요·고복잡도 특성을 고려해 이번 주 내 대응이 권장됨([실측 악용예측], [우선순위 결정]).

악용 가능성: 이 취약점은 네트워크에서 직접 접근 가능(AV:N)하지만 공격 복잡도가 높아(AC:H) 정교한 직렬화 변조 기술이 필요합니다. 그러나 권한 요구가 낮으며(PR:L) “DNA Authority - Operator” 권한만 있으면 인증된 사용자가 바로 악용할 수 있습니다. 사용자 개입이 전혀 없으므로(UI:N) 공격자는 요청을 전송하기만 하면 됩니다. EPSS 점수 0.00498은 실제로 관측된 악용 사례가 매우 드물다는 것을 의미하고, KEV에 등재되지 않은 점도 현재 위협 수준이 낮음을 뒷받침합니다. 노출되는 공격 표면은 직렬화 객체를 수신하는 API 엔드포인트와 해당 파라미터(예: payload)이며, 프로토콜은 일반적인 HTTP/HTTPS를 사용합니다. 공격자는 먼저 “DNA Authority - Operator” 자격을 확보한 뒤(예: 자격 도용 또는 내부인), 변조된 직렬화 데이터를 해당 엔드포인트에 전송해 역직렬화를 유도하고, 결과적으로 Enterprise SCADA 보안 그룹 “DNA Apps” 권한으로 코드가 실행됩니다. 이 단계에서 추가적인 권한 상승이 필요 없으며, 동일 서비스 내의 직렬화 로직만을 조작하면 공격이 완결됩니다.

• 코드 실행: 공격 코드는 Enterprise SCADA “DNA Apps” 보안 그룹 권한으로 실행돼 시스템 설정, 제어 명령, 데이터베이스에 직접 접근 가능.
• 서비스 중단: 악성 프로세스가 SCADA 컨트롤러를 교란하거나 서비스 거부 상태를 유발할 수 있음.
• 데이터 무결성 손상: 실시간 운영 데이터를 변조·삭제할 위험이 존재함.

• CWE‑502 (Deserialization) 를 이용한 RCE는 일반적으로 다음과 연계됨:
  • 정보 노출 → 인증 정보 탈취 → 권한 상승(예: 다른 CVE의 권한 상승 결함) → 최종 RCE.
  • 인증 우회: 동일 시스템에 존재하는 파일 업로드 취약(CWE‑434)과 결합 시 악성 직렬화 객체를 파일로 저장 후 로드 가능.
• 추정: 현재 SCADA 전용 gadget chain이 공개되지 않았으므로, 공격자는 기존 오픈소스 Java/.NET deserialization 라이브러리의 gadget을 변형해 사용할 가능성이 높음.

• 직렬화 요청에서 비정상적인 클래스·패키지 패턴(예: java.lang.Runtime, System.Diagnostics.Process) 감시.
• 역직렬화 오류 로그 급증 및 “InvalidClassException” 발생 시 알림.
• DNA Apps 그룹 계정으로 실행되는 신규 프로세스 생성 이벤트 모니터링.
• IDS/IPS에서 해당 API 엔드포인트에 대한 비정상적인 POST/PUT 바디 패턴 서명 적용.

• 즉시: “DNA Authority – Operator” 역할을 최소 권한으로 재조정하고, MFA 적용 후 사용 제한.
• 입력 검증: 허용 클래스 화이트리스트 기반 안전 역직렬화 구현 또는 JSON/XML 등 구조화된 포맷 전환.
• 패치·업데이트: 공급자가 제공하는 보안 업데이트가 나오면 신속 적용.
• 네트워크 분할: SCADA 직렬화 서비스와 외부 네트워크를 VLAN/방화벽으로 격리하고, ACL로 접근 제한.
• 로그·감사 강화: 모든 역직렬화 시도와 관리자 계정 활동을 중앙 로그 서버에 전송해 SIEM에서 상관관계 분석.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.1 · non-KEV · EPSS=0.00498 · exploit=hard · in_scope=None