[방어] 분석 — CVE-2026-5846

• 심각도 medium · CVSS 5.7 · EPSS 미확보 · 악용난이도 hard

Watchfire Controller 소프트웨어에 평문으로 포함된 RSA 개인키와 X.509 인증서를 펌웨어 바이너리에서 추출합니다.
공격자는 추출한 키·인증서를 사용해 컨트롤러 내장 웹 관리 인터페이스(HTTPS 443)와 TLS 핸드쉐이크를 수행하고, 정상 관리자와 구분되지 않는 TLS 세션을 수립합니다. 이후 UI에 로그인하거나 API 호출을 위조하여 설정을 변경·정보를 탈취할 수 있습니다. CVSS 벡터 AV:N/PR:H/UI:R 에 따라 공격자는 이미 관리자 권한을 보유하고 네트워크 접근이 가능한 상황이어야 활용 가능합니다.

악용 가능성: 이 취약점은 AV:N (네트워크)으로 원격에서 접근 가능하지만 AC:H (높은 복잡도)와 PR:H (높은 권한 필요), UI:R (사용자 상호작용 요구) 때문에 실제 공격을 수행하려면 공격자는 먼저 컨트롤러 펌웨어에 포함된 하드코딩 RSA 개인키를 추출해야 합니다. 개인키는 바이너리 파일에 평문으로 저장되어 있어, 이를 얻기 위해서는 관리자 권한 이상의 계정으로 원격 지원 파일스토어에 접근하거나 물리적 장치 탈취 후 역공학을 진행해야 하는 고난이도 절차가 요구됩니다. 추출된 키를 이용해 공격자는 HTTPS/TLS 연결 시 인증서를 위조하거나 트래픽을 복호화할 수 있으며, 이는 컨트롤러의 내장 웹 관리 인터페이스(보통 443/8443 포트)와 해당 엔드포인트에 대한 TLS 핸드쉐이크 과정이 공격 표면이 됩니다. EPSS가 제공되지 않고 KEV 목록에도 등재되지 않은 점은 현재까지 실제 악용 사례가 보고되지 않았음을 의미하지만, 하드코딩된 키 자체가 이론적 심각도와 무관하게 실질적인 위협 요인임을 보여줍니다. 따라서 공격 성공

• 기밀성(C): TLS 세션 복호화로 관리 비밀번호, API 토큰, 시스템 설정 등이 노출됩니다.
• 무결성(I): 인증된 관리자 권한으로 방화벽 정책·로그 전송 옵션 등을 임의 변경할 수 있습니다.
• 가용성(A): 직접적인 서비스 중단은 없지만 악의적 설정 변경이 시스템 가동에 영향을 줄 위험이 존재합니다.

하드코딩된 인증서는 CWE‑311(민감 데이터 평문 저장) 및 CWE‑295(인증서 검증 오류)와 연계될 수 있으며, 동일 키가 내부 서비스 간 클라이언트 인증에 재사용될 경우 횡방향 이동(lateral movement)이나 중간자 공격(MITM)으로 확장될 가능성이 있습니다.

• 로그 지표

  • 웹 서버 접근 로그(access.log) – tls_client_hello 에 포함된 certificate_sha256 필드가 사전에 추출한 하드코딩 키 해시와 일치할 경우.
  • 시스템 이벤트 로그 – certificate_load_success 메시지에 고정 DN CN=WatchfireControllerDefault 가 표시될 때.
  • 방화벽/IDS 로그 – 동일 소스 IP에서 5 초 이내 다중 TLS 핸드쉐이크가 발생하고, ServerHello 에 RSA‑2048·e=65537 조합이 반복될 경우.

• SIEM 쿼리 예시 (Splunk)

  text복사

   1index=watchfire sourcetype=web_access
   2| eval cert_hash=if(isnull(cert_pem), null(), sha256(cert_pem))
   3| where cert_hash="3a5f7e9c4d2b8e...<hard‑coded hash>"
   4| stats count by src_ip, user_agent
   5| where count > 5 AND NOT cidrmatch("203.0.113.0/24", src_ip)   // 원격지원 IP 제외

• 정규식 패턴

  • 인증서 DN 검사: (?i)CN=WatchfireControllerDefault
  • PEM 헤더 탐지 (키 추출 시도 로그): -----BEGIN RSA PRIVATE KEY-----\s*[A-Za-z0-9+/=\n]+-----END RSA PRIVATE KEY-----

• 오탐 튜닝

  • 정상 원격지원 엔지니어가 동일 키를 사용해 문제 해결을 요청하는 경우 발생할 수 있습니다. user_agent에 “WatchfireRemoteSupport” 가 포함되면 해당 이벤트를 화이트리스트에 추가하거나, 지원 전용 IP 대역(203.0.113.0/24)을 제외 조건으로 적용합니다.

• 탐지 검증

  • 위 쿼리를 실시간 알림(rule)으로 설정하고, 테스트 트래픽으로 하드코딩 인증서를 사용한 TLS 연결을 수행해 로그에 정상적으로 기록되는지 확인합니다.

1. 키 교체·맞춤 인증서 배포

   • 컨트롤러 UI 또는 CLI에서 Custom Certificate 옵션을 사용해 자체 발급한 RSA 키·인증서를 업로드하고 use_custom_cert=true 로 전환합니다.
   • 난이도: 중간 – 인증서 생성·배포 절차 필요, 재부팅 시 1~2 분 다운타임 발생.
   • 운영 영향: 관리 인터페이스 재시작에 따른 일시적 서비스 중단.
   • 검증: 새 인증서 SHA‑256 해시가 로그에 기록되고, 기존 하드코딩 키 해시와 매칭되지 않음 확인.

2. 원격지원 IP 제한

   • Watchfire Remote Support 파일스토어 접근을 전용 지원 서버 IP(예: 203.0.113.10)만 허용하고 나머지는 차단합니다.
   • 난이도: 낮음 – 방화벽 ACL 수정.
   • 운영 영향: 정상 지원 요청 시 사전 공지 필요, 지연 가능성 존재.
   • 검증: 지원 서버 IP에서만 TLS 핸드쉐이크가 성공하는지 로그로 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.7 · non-KEV · EPSS=미확보 · exploit=hard · in_scope=None