[방어] 분석 — CVE-2022-27593

• 심각도 critical · CVSS 10.0 · EPSS 0.87908 · 악용난이도 easy · KEV

• 원리: externally controlled reference to a resource 취약점으로, 외부 입력값이 리소스 경로 결정에 영향을 주는 구조입니다.
• 경로: 추정: HTTP 요청의 파라미터를 통해 파일 경로를 조작하는 Path Traversal 기법이 사용됩니다.
• 단계:
  1. 인증되지 않은 공격자가 Photo Station API 엔드포인트에 특수하게 조작된 경로/파일명이 포함된 요청을 전송합니다.
  2. 서버가 입력값 검증 없이 해당 경로를 참조하여 파일을 생성하거나 수정합니다.
  3. 웹 루트 또는 시스템 중요 경로에 악성 스크립트(.php 등)를 업로드하여 원격 코드 실행(RCE)으로 연결합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯, 공격자는 인증되지 않은 상태에서 네트워크를 통해 특수하게 조작된 요청을 보내는 것만으로 시스템 파일 수정이라는 치명적인 결과를 초래할 수 있습니다. 특히 EPSS 점수가 0.87908로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 야생(In-the-wild)에서 공격 도구가 유포되고 실제 타겟팅이 이루어지고 있음을 입증합니다. 공격 표면은 QNAP NAS의 Photo Station 서비스가 외부로 노출된 엔드포인트이며, 리소스 참조를 제어하는 파라미터가 주요 트리거 포인트가 됩니다. 결과적으로 별도의 사용자 상호작용이나 권한 없이도 HTTP 프로토콜을 통해 원격으로 시스템 파일에 접근할 수 있어 방어자 입장에서 매우 시급한 위협입니다.

• 시스템 권한 탈취: 공격자가 임의의 시스템 파일을 수정할 수 있어, 최종적으로 관리자 권한 획득 및 RCE가 가능합니다.
• 데이터 유출 및 파괴: NAS 내 저장된 모든 사진 및 개인 데이터에 접근하거나 삭제할 수 있습니다.
• 내부망 거점화: CVSS 벡터 S:C(Scope Changed)에서 알 수 있듯, 취약한 장비를 통해 내부 네트워크의 다른 자산으로 공격을 확장하는 Lateral Movement의 교두보가 됩니다.

• Path Traversal $\rightarrow$ RCE: 경로 조작을 통해 웹 셸을 업로드하고 이를 실행하는 전형적인 체이닝 패턴입니다.
• Unauthenticated Access: 인증 과정 없이 API에 접근 가능한 점이 결합되어 공격 난이도가 매우 낮습니다(AC:L, PR:N).

다중 소스 데이터 일관성이 확인된 신뢰도 1.0의 리포트이며, EPSS 0.87908(상위 0.25% 수준)과 KEV 등재 사실은 이론적 위험을 넘어 실제 공격이 빈번함을 의미합니다. 따라서 단순 로그 수집보다 능동적인 패턴 매칭이 필수적입니다.

• 로그 지표:
  • 대상: HTTP Access Log, WAF/IPS Log, 시스템 감사 로그(Audit Log)
  • 필드: request_uri, query_string, post_body, user_agent
• 탐지 규칙 예시:
  1. L7 경로 조작 탐지 (WAF/IDS):
     • Condition: HTTP Method = POST AND Path contains /web/photo_station/
     • Pattern: (\.\.\/|\.\.\\|%2e%2e%2f|/etc/passwd|/etc/shadow)
     • Logic: 요청 바디 또는 URI에 상위 디렉토리 이동 패턴이나 시스템 파일 경로가 포함된 경우 즉시 차단.
  2. 비정상 파일 생성 탐지 (SIEM/EDR):
     • Source: File System Integrity Monitor (FIM) / Auditd
     • Condition: Path starts with /web/photo_station/ AND File Extension = .php or .jsp
     • Logic: 해당 경로 하위에 웹 실행 파일이 생성되는 이벤트 발생 시 즉시 알람.
  3. 비정상 요청 빈도 탐지 (SIEM):
     • Query: SELECT count(*) FROM http_logs WHERE uri LIKE '%photo_station%' GROUP BY src_ip HAVING count > 100 PER 1min
     • Logic: 단시간 내 특정 IP에서 Photo Station API로 과도한 요청을 보내는 경우 스캐닝으로 간주.
• 오탐 튜닝: 정당한 파일 업로드 시 파일명에 ..가 포함되는지 확인하십시오. 정상적인 사용자의 업로드 패턴(파일명 규칙)과 공격자의 경로 조작 패턴을 구분하여 화이트리스트를 적용합니다.

본 취약점은 CVSS 10.0 및 KEV 등재로 인해 'Immediate' 우선순위로 대응해야 합니다.

• 즉시 (긴급 차단):
  • 조치: WAF/IPS에서 /web/photo_station/ 경로로의 모든 외부 인바운드 트래픽을 즉시 Drop 하거나, 해당 포트를 방화벽에서 전면 차단합니다.
  • 난이도: 낮음 / 영향: Photo Station 서비스 중단 (가용성 저하) / 검증: 외부 IP에서 해당 API 호출 시 403 Forbidden 또는 Timeout 확인.
• 단기 (완화):
  • 조치 1: 내부망에서도 접근 가능한 경우, 신뢰할 수 있는 관리자 IP만 허용하는 ACL(Access Control List)을 적용하고 VLAN 격리를 수행합니다.
  • 조치 2: 익명 사용자 접근 기능을 비활성화하고 모든 API 요청에 대해 강력한 인증을 강제합니다. (추정: 설정 메뉴 내 'Guest Access' 해제)
  • 난이도: 중간 / 영향: 내부 사용자의 이용 불편 증가 / 검증: 미인증 상태에서 API 접근 시 401 Unauthorized 확인.
• 근본 (해결):
  • 조치: 제품 버전별 최신 패치를 적용합니다.
    • QTS 5.0.1 $\rightarrow$ Photo Station 6.1.2+
    • QTS 5.0.0/4.5.x $\rightarrow$ Photo Station 6.0.22+
    • QTS 4.3.6 $\rightarrow$ Photo Station 5.7.18+
    • QTS 4.3.3 $\rightarrow$ Photo Station 5.4.15+
    • QTS 4.2.6 $\rightarrow$ Photo Station 5.2.14+
  • 난이도: 낮음 / 영향: 업데이트 중 일시적 서비스 재시작 필요 / 검증: 버전 정보 확인 및 알려진 PoC 패턴으로 재검증.

잔여 리스크: 패치 후에도 이미 업로드된 웹 셸이 존재할 수 있으므로, /web/photo_station/ 하위의 모든 파일을 전수 조사하여 비정상적인 .php, .jsp 파일이 있는지 무결성 검사를 반드시 수행해야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.87908 · exploit=easy · in_scope=None