[분석가] 분석 — CVE-2026-56164

• 심각도 medium · CVSS 5.3 · EPSS 0.22439 · 악용난이도 easy · KEV

• 경로: 네트워크를 통해 인증되지 않은 원격 공격자가 대상 서버의 특정 SOAP 엔드포인트에 접근합니다.
• 원리: 핵심 기능(Critical Function) 내 인증 검증 로직 누락을 이용하며, 특히 WSDL 분석을 통해 취약한 메서드(vulnerableMethod)와 파라미터 구조를 확인 후 악성 XML 페이로드를 전송하는 방식으로 작동합니다.
• 단계: WSDL 분석 및 타겟 메서드 식별 $\rightarrow$ 인증 우회 SOAP 요청(악성 객체 삽입) $\rightarrow$ 권한 상승(Privilege Escalation) 순으로 진행됩니다.
• 추정: 단순 권한 상승을 넘어 XML 역직렬화(Deserialization) 취약점이 체이닝될 경우, 가젯 체인을 통한 원격 코드 실행(RCE)으로 이어질 가능성이 높습니다.

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 인증되지 않은 원격 공격자가 네트워크를 통해 특권 상승을 수행할 수 있는 구조로, CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 나타내듯 특별한 권한이나 사용자 상호작용 없이도 공격이 가능하여 기술적 진입장벽이 매우 낮습니다. 공격 표면은 Microsoft Office SharePoint의 인증 절차가 누락된 특정 크리티컬 함수(Critical Function) 엔드포인트이며, HTTP/HTTPS 프로토콜을 통해 외부에서 직접 접근 가능한 파라미터가 트리거 조건이 됩니다. 이론적 위험성을 넘어 EPSS 수치가 0.22439로 높게 측정되고 KEV(Known Exploited Vulnerabilities)에 등재된 점은 이미 야생(In-the-wild)에서 실제 악용 사례가 확인되었음을 의미하며, 이는 공격 도구가 보급되어 자동화된 스캔 및 공격이 빈번하게 발생하고 있음을 시사합니다. 따라서 방어자 관점에서 본 취약점의 악용 가능성은 매우 높으며, 인증 우회 후 즉시 권한 상승으로 이어지는 경로로 인해 공격 성공률이 극히 높은 상태입니다.

• 영향 제품 및 범위:
  • SharePoint Enterprise Server 2016 (16.0.0 $\le$ x < 16.0.5561.1001)
  • SharePoint Server 2019 (16.0.0 $\le$ x < 16.0.10417.20175)
  • SharePoint Server Subscription Edition (16.0.0 $\le$ x < 16.0.19725.20434)
• 기술적 위험: 인증 없이 특권 권한을 획득할 수 있어, 일반 사용자 또는 외부 공격자가 시스템 관리자 권한을 탈취할 수 있습니다. 이는 내부망 진입 후 도메인 관리자 권한까지 노리는 횡적 이동(Lateral Movement)의 핵심 경로가 됩니다. CVSS 벡터상 무결성 영향(I:L)이 확인되며, 추정: 관리자 권한 획득 시 시스템 설정 변경 및 민감 데이터 무단 접근이 가능합니다.
• 비즈니스 리스크: 기업 협업 플랫폼 내 기밀 문서의 무결성 훼손 및 데이터 유출 위험이 있으며, 이는 내부 통제 규정 위반 및 기업 신뢰도 하락으로 직결됩니다.

• 유형: Auth (인증 미흡) 유형입니다.
• 체이닝 가능성: 인증 우회 후 권한 상승 상태에서 XML 역직렬화 취약점이나 다른 RCE 취약점과 결합될 경우, 시스템 전체 제어권을 즉시 획득하는 공격 체인이 완성됩니다.

• 로그 분석: 일반적인 로그인 로그로는 탐지가 불가능합니다(인증을 우회하므로). 따라서 SOAP 엔진 앞단의 HTTP 요청 본문 및 런타임 에러 로그를 추적해야 합니다.
• 탐지 지표:
  • Authorization 헤더가 없는 상태에서 관리 기능 엔드포인트로의 비정상적인 POST 요청.
  • 요청 본문 내 비정상적인 XML 구조 또는 알려진 가젯 체인 패턴 삽입 여부.
  • SOAP 처리 과정에서 발생하는 특정 클래스 역직렬화 관련 런타임 에러 로그.

• 근본 해결: Microsoft 제공 최신 보안 업데이트를 적용하여 영향 범위 내 버전을 패치합니다.
• 즉시 조치:
  • 다중 소스 데이터 일관성이 확인되었으며, 특히 KEV 등재 및 EPSS 0.22439(백분위 0.97458)라는 실측 기반의 높은 악용 가능성을 근거로 24시간 내 즉시 대응을 권고합니다.
  • 패치 전까지 SOAP 엔드포인트에 대해 XML Schema Validation(XSD)을 강제하여 비정상 객체 삽입을 차단하고, WAF/ACL을 통해 관리 기능 경로의 외부 접근을 제한하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=5.3 · KEV · EPSS=0.22439 · exploit=easy · in_scope=None