[방어] 분석 — CVE-2026-34909

• 심각도 critical · CVSS 10.0 · EPSS 0.62767 · 악용난이도 easy · KEV

공격자는 인증되지 않은 상태에서 네트워크를 통해 UniFi OS 장치의 웹 엔드포인트에 접근합니다. 이때 HTTP 요청 파라미터나 URI에 ../ (dot-dot-slash)와 같은 상위 디렉터리 참조 시퀀스를 삽입하여, 애플리케이션이 의도한 경로를 벗어나 시스템 루트 파일 시스템의 임의 파일에 접근하는 Path Traversal 공격을 수행합니다. 이를 통해 /etc/shadow나 설정 파일 등 민감 정보를 탈취하고, 추정: 해당 정보를 기반으로 계정 권한을 획득하여 시스템 전체 제어권을 장악하는 단계로 이어집니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 악용 가능성은 극도로 높습니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯, 공격자는 인증 없이 네트워크를 통해 원격으로 접근할 수 있으며 특수한 전제 조건이나 사용자 상호작용이 전혀 필요하지 않습니다. 특히 EPSS 수치가 0.62767로 매우 높고 KEV에 등재되었다는 점은 이론적 위험을 넘어 이미 실제 환경에서 공격 도구가 유포되고 활발히 악용되고 있음을 입증합니다. 공격 표면은 UniFi OS 장비의 웹 관리 인터페이스 및 관련 API 엔드포인트이며, 특정 파라미터에 ../와 같은 경로 조작 문자열을 주입하는 Path Traversal 방식으로 트리거됩니다. 이를 통해 시스템 내부 설정 파일이나 계정 정보가 담긴 민감한 파일에 직접 접근할 수 있어, 최종적으로는 관리자 권한 탈취로 이어질 가능성이 큽니다.

• 기밀성 완전 상실: 인증 없이 시스템 내부의 임의 파일을 읽을 수 있어 관리자 비밀번호 해시, 네트워크 구성 정보, API 토큰 등이 유출됩니다.
• 권한 상승 및 장치 제어: 탈취한 계정 정보를 이용해 관리자 권한을 획득할 경우, 해당 장치가 관장하는 전체 네트워크 인프라의 트래픽 제어 및 설정 변경이 가능해지는 연쇄적 파급 효과가 발생합니다.

• 유형: Path Traversal (CWE-22)
• 체이닝: 파일 읽기를 통해 획득한 자격 증명을 이용한 SSH/Web UI 로그인(인증 우회) 및 내부망 내 다른 장치로의 횡적 이동(Lateral Movement)으로 연계될 가능성이 매우 높습니다.

다중 소스 데이터 일관성이 확인되었으며, 특히 EPSS 0.62767(백분위 0.99114)은 이론적 심각도와 별개로 실제 야생에서의 악용 예측치가 최고 수준임을 의미합니다. 따라서 단순 로그 수집을 넘어 정밀한 패턴 탐지가 필수적입니다.

• 로그 지표: Web Server Access Log $\rightarrow$ request_uri 또는 query_string 필드

• 탐지 규칙 예시:

  1. WAF/IDS 시그니처 (인코딩 우회 포함):
     • Regex: (?i)(\.\.\/|\.\.\\|%2e%2e%2f|%2e%2e%5c|%2e%2e\/|%2e%2e\\)
     • Condition: URI 내에 상위 디렉터리 참조 패턴이 발견될 경우 즉시 차단 및 경보.
  2. 민감 경로 접근 SIEM 쿼리 (의사코드):
     • SELECT timestamp, src_ip, request_uri FROM web_logs WHERE (request_uri LIKE '%/etc/%' OR request_uri LIKE '%/config/%' OR request_uri LIKE '%/shadow%') AND (request_uri LIKE '%..%')
  3. 비정상 스캔 행위 탐지:
     • Condition: 단일 Source IP에서 1분 이내에 Path Traversal 패턴이 포함된 요청과 함께 HTTP 404(Not Found) 또는 403(Forbidden) 응답이 10회 이상 발생 시 Alert.

• 오탐 튜닝 및 주의사항:

  • 정상 호출 스택 정의: 특정 서비스의 정상적인 API 호출 경로에 ..가 포함되는지 전수 조사하여 화이트리스트를 생성해야 합니다.
  • 디코딩 검사: %2e%2e와 같은 URL 인코딩 우회를 막기 위해 WAF에서 Normalize(정규화) 처리 후 패턴 매칭을 수행하도록 설정하십시오.

본 취약점은 CVSS 10.0 및 KEV 등재로 인해 'Immediate(24시간 내)' 대응이 요구되는 최우선 순위 항목입니다. 결정 논리는 실측 악용 데이터(EPSS)와 공격 난이도(Easy)가 결합되어 즉각적인 위협으로 판단되었기 때문입니다.

• 즉시 (긴급 차단): 관리 인터페이스 ACL 제한

  • 조치: WAN(외부망)에서의 관리 UI 접근을 즉시 차단하고, 사전에 정의된 신뢰할 수 있는 내부 관리자 IP 대역에서만 접속 가능하도록 ACL 설정.
  • 난이도: 낮음 / 운영 영향: 외부 원격 관리 불가 / 검증: 외부망 IP를 통한 UI 접속 시 타임아웃 또는 거부 확인.

• 단기 (완화): OS 레벨 권한 강화 및 계정 재설정

  • 조치 1: OS 레벨에서 /etc/shadow, /config/ 등 핵심 민감 디렉터리에 대해 웹 서비스 실행 계정의 읽기 권한을 최소화(ACL 강화).
  • 조치 2: 이미 파일 유출이 발생했을 가능성을 전제하여, 모든 시스템 관리자 계정의 비밀번호를 강력하게 재설정하고 기존 세션을 강제 종료.
  • 난이도: 중간 / 운영 영향: 추정: 일부 서비스 기능 오작동 가능성(사전 테스트 필요) / 검증: 비특권 계정으로 해당 경로 접근 시 Permission Denied 확인.

• 근본 (해결): 최신 펌웨어 업데이트

  • 대상 버전: unifi_os_server $\ge$ 5.0.8, unifi_cloud_gateway_industrial_firmware $\ge$ 5.1.12, unifi_dream_machine_firmware $\ge$ 5.1.12 등 각 제품별 최신 패치 적용.
  • 난이도: 낮음 / 운영 영향: 업데이트 중 장치 재부팅으로 인한 일시적 네트워크 단절 / 검증: 버전 정보 확인 및 취약점 스캐너를 통한 재검증.

잔여 리스크: 패치를 적용하더라도 이미 유출된 설정 파일이나 계정 정보가 공격자에게 남아있을 수 있으므로, 반드시 '계정 비밀번호 재설정'과 '세션 초기화'가 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.62767 · exploit=easy · in_scope=None