[공격] 분석 — CVE-2026-34492

• 심각도 미상 · CVSS 미상 · EPSS 0.00428 · 악용난이도 hard

• 공격 표면

  • Airwall 관리 콘솔 및 REST API에서 파일 업로드·다운로드, 설정 가져오기 등에 사용되는 filename(또는 유사) 파라미터.
  • HTTP POST/GET 요청 바디 혹은 쿼리스트링에 포함된 경로 문자열이 서버 측 검증 없이 파일 시스템 절대/상대 경로에 매핑됨.

• 트리거 조건

  • ../, %2e%2e%2f, ..\\ 등 디렉터리 상위 이동 시퀀스가 포함된 파일명/경로를 전송.
  • 입력값 정규화·화이트리스트 검증이 없을 경우 서버는 해당 경로를 그대로 사용.

• 공격 단계

  1. 정찰 – 공개 문서·UI 스크린샷·네트워크 트래픽 분석으로 /api/v1/files/*, /config/download 등 파일 관련 엔드포인트와 파라미터명을 식별. (다중 소스에서 일관성이 확인됐다)
  2. 초기 접근 – 유효한 관리자/시스템 계정 세션을 확보(예: 기본 인증, 약한 비밀번호, 다른 취약점 이용). DGX_A가 지적한 바와 같이 인증이 선행돼야 파일 포함·읽기가 가능함.
  3. 실행·권한 획득 – 인증된 세션으로 조작된 filename을 전송하면 Airwall 서비스 계정(보통 시스템 수준) 권한으로 지정 경로에 파일을 읽거나 쓰게 됨. 이를 통해:
     • /etc/passwd, /var/log/airwall.log 등 민감 파일 열람
     • /opt/airwall/webroot/malicious.jsp와 같은 웹 루트 아래 악성 스크립트 배치 → RCE
  4. 지속 – 변조된 설정 파일(airwall.conf)이나 웹 셸이 재시작 시 자동 실행되어 지속적인 제어 확보.
  5. 영향 – 파일 무결성 파괴, 인증 우회, 원격 코드 실행, 서비스 거부 등.

• CVSS 벡터 (추정) – AV:N/AC:L/PR:L/UI:N 로 추정하나 공식 점수는 제공되지 않음.

악용 가능성: 이 취약점은 네트워크를 통해 접근 가능한 관리 인터페이스(예: HTTP / HTTPS API)의 파일‑경로 파라미터가 외부 입력에 의해 직접 제어될 수 있어, 공격자는 임의의 경로나 파일명을 지정할 수 있습니다. CVSS에서 AV=Network·AC=High·PR=Low·UI=None 로 매핑하면, 원격에서 네트워크만으로 접근 가능하지만 복잡한 파라미터 조작과 정확한 경로 추정이 요구되므로 실전 난이도는 높게 평가됩니다. EPSS 0.00428(≈0.43 %)은 현재 실제 공격 사례가 매우 드물다는 것을 보여주며, KEV에 등재되지 않은 점 역시 위협이 아직 광범위하게 관찰되지 않았음을 의미합니다. 그러나 파일 시스템 접근 권한을 가진 서비스 계정이 존재하고, 웹 UI 또는 REST 엔드포인트가 인증 없이 혹은 약한 인증으로 노출돼 있다면, 공격자는 파일 조작을 통해 임의 코드 삽입이나 서비스 거부를 시도할 수 있습니다. 주요 공격 표면은 “/upload”, “/config” 등 파일 경로를 입력받는 API 파라미터이며, 프로토콜은 일반적인 HTTP / HTTPS 기반이므로 방화벽 차단만으로는 충분히 차단되지 않을 가능성이 있습니다. 따라서 실전 활용 가능성은 낮지만, 조건이 충족될 경우 심각한 파일 변조 위험을 내포하고 있음을 인지해야 합니다.

• 임의 파일 읽기 → 시스템 내부 정보(패스워드 해시, 설정값) 노출.
• 임의 파일 쓰기 → 설정 파일 변조·인증 비활성화·웹 셸 삽입 등으로 전체 Airwall 제어권 획득.
• 서비스 계정 권한이 시스템 수준이면 추가적인 호스트 침투 및 lateral movement 가능.

• CWE‑22 (Path Traversal) – 기본 원인인 파일 경로 검증 부재.
• 추정: 동일 제품 내 다른 입력 검증 결함(CWE‑276, XML External Entity)과 연계하면 악성 파일을 로드해 추가적인 RCE를 유발할 수 있음.
• 일반적 체이닝 패턴: 인증 획득 → 경로 탐색 → 설정 변조/웹 셸 배치 → 권한 상승 → 원격 코드 실행.

• 웹 서버 로그에 filename 파라미터에 ../, %2e%2e%2f, ..\\ 등이 포함된 요청 기록.
• 파일 시스템 감시(예: auditd, inotify)에서 Airwall 설치 디렉터리 외부 경로( /etc/ , /var/www/)에 대한 생성·수정 이벤트.
• WAF/IPS 시그니처 “Path Traversal – External Control of File Name or Path” 매칭.

• 즉시 조치

  • filename 입력을 화이트리스트(허용된 파일명·확장자)로 제한하고, 경로 정규화 후 ../ 시퀀스를 차단.
  • 웹 프록시/WAF에 위와 동일한 패턴 차단 규칙 적용.

• 근본 해결

  • Johnson Controls가 제공하는 Airwall 4.1 이상 버전으로 업데이트(패치 포함).
  • 서비스 계정 파일 접근 권한 최소화: 필요한 디렉터리만 읽기/쓰기 허용, 시스템 전체 경로에 대한 직접 접근 금지.

• 추가 방어

  • 정기적인 파일 무결성 검사와 로그 분석 자동화.
  • EPSS 0.00428 값과 “hard” 악용 난이도(규칙 기반 우선순위) 를 고려해 모니터링 수준을 유지하고, 신규 악용 징후 발생 시 즉시 대응.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00428 · exploit=hard · in_scope=None