[공격] 분석 — CVE-2026-20127

• 심각도 critical · CVSS 10.0 · EPSS 0.88243 · 악용난이도 easy · KEV

• 공격 표면

  • 노출된 HTTPS 관리 인터페이스(기본 포트 443) 및 내부 NETCONF 엔드포인트(포트 830).
  • 피어링 인증 API(예: /dataservice/peer/auth)가 입력 검증 없이 요청을 처리함.

• 정찰

  • 공개된 IP·포트 스캔으로 SD‑WAN Manager 또는 vBond Orchestrator 존재 확인.
  • HTTP(S) 응답 헤더·버전 문자열에서 취약 버전(20.x 미만) 판별.

• 초기 접근

  • 인증 정보 없이 POST https://<target>/dataservice/peer/auth에 특수 JSON/URL‑encoded payload 전송.
  • 입력 검증 결함으로 서버가 인증 과정을 건너뛰고 내부 “high‑privileged non‑root” 세션 토큰을 발급.

• 권한 획득

  • 반환된 토큰을 사용해 동일 HTTPS 인터페이스 또는 NETCONF(SSH 830)에 접속.
  • NETCONF edit-config RPC를 실행하여 system·policy 설정을 변경, 관리자 계정 생성 혹은 기존 인증 정책 우회.

• 지속

  • 신규 관리 사용자와 SSH 공개키를 영구적으로 등록하고, 토큰 자동 재생성 스케줄링(예: cron‑like NETCONF 작업)으로 장기 세션 유지.

• 영향

  • 전체 SD‑WAN 패브릭의 라우팅·보안 정책을 임의로 수정·삭제 → 트래픽 탈취·서비스 중단.

CVSS AV:N/AC:L/PR:N/UI:N 은 네트워크 직접 접근만으로 충분히 실행 가능함을 의미합니다.

악용 가능성: 이 취약점은 네트워크 전역에서 접근 가능한 AV:N 엔드포인트(예: SD‑WAN Controller의 피어링 인증 API)로 직접 요청을 보내면 되므로 공격 난이도가 매우 낮습니다. 복잡한 사전 준비가 필요 없으며, PR:N 및 UI:N 조건에 따라 권한이나 사용자 조작 없이 바로 시도할 수 있어 AC:L (낮은 복잡도)와 일치합니다. EPSS 값이 0.88243 으로 매우 높아 실제 환경에서 88% 이상의 확률로 악용될 가능성이 있음을 보여주며, KEV에 등재된 점은 이미 실전 공격 사례가 존재함을 의미합니다. 트리거 조건은 인증 요청 메시지의 특정 파라미터(예: peer‑id, token) 를 조작해 전송하는 것뿐이며, 별도의 권한 상승 단계 없이 바로 관리 수준 비루트 계정이 부여됩니다. 공격 표면은 HTTPS/TLS 기반 REST 엔드포인트와 NETCONF 세션을 노출하는 포트(보통 443/830)이며, 해당 프로토콜과 파라미터만 알면 인증 우회를 구현할 수 있습니다. 따라서 방어자는 이 공개된 피어링 API를 외부에 그대로 노출하지 않도록 네트워크 경계에서 차단하거나 접근 제어를 강화해야 합니다.

• 공격자는 내부 고권한 사용자 계정으로 NETCONF에 접속해 SD‑WAN 토폴로지를 자유롭게 변경할 수 있습니다.
• 라우팅 정책, VPN 터널, 방화벽 규칙 등을 임의 조작하여 데이터 유출·서비스 거부를 초래합니다.
• 기존 로그·감사 기록이 정상적인 관리 세션으로 위장될 가능성이 높아 탐지가 어려워집니다.

• 인증 우회 → 권한 상승 패턴은 CWE‑287(Improper Authentication)과 CWE‑306(Authentication Bypass)에서 흔히 관찰됩니다.
• 동일 제품군의 과거 CVE(예: Cisco vManage 인증 우회 취약점)와 결합하면, 피어링 단계뿐 아니라 API 토큰 재사용·세션 고정 공격까지 확장될 수 있습니다.
• NETCONF 자체에 존재하는 입력 검증 오류(CWE‑20)와 연계하면 edit-config RPC를 통한 임의 명령 실행이 가능해집니다.

• 네트워크 레벨: 관리 포트(443, 830)로 들어오는 인증 헤더가 없는 POST 요청을 IDS/IPS에서 경보 처리.
• 애플리케이션 로그: peer/auth 엔드포인트에 대한 “성공” 응답이 비정상적인 IP·시간대에서 발생한 경우.
• NETCONF 활동: 비루트 계정으로 edit-config, commit RPC가 빈번히 실행되는 패턴을 SIEM에서 감시.

1. 즉시 차단 – 외부 네트워크에서 관리 인터페이스(443/830)로의 직접 접근을 방화벽 ACL로 차단하고, 신뢰된 내부 IP만 허용합니다.
2. 세션 무효화 – 현재 모든 세션 토큰을 강제 종료하고, 관리자 계정 비밀번호를 즉시 재설정합니다.
3. 패치 적용 – Cisco가 제공하는 최신 보안 업데이트(버전 20.9.8.2 이후)로 업그레이드합니다.
4. 인증 강화 – 피어링 인증에 mTLS·디지털 서명 기반 검증을 활성화하고, 기본 API 토큰 사용을 금지합니다.
5. 모니터링 구축 – 위에서 언급한 IDS/IPS 시그니처와 NETCONF RPC 감시 규칙을 배포해 지속적인 탐지를 보장합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.88243 · exploit=easy · in_scope=None