[방어] 분석 — CVE-2026-45495

• 심각도 high · CVSS 8.8 · EPSS 0.00987 · 악용난이도 hard

본 취약점은 Microsoft Edge (Chromium-based)의 메모리 손상(Memory-Corruption) 결함으로 인해 발생하며, 공격자가 조작된 웹 콘텐츠를 통해 원격 코드 실행(RCE)을 유도하는 방식입니다. CVSS 벡터(UI:R)에 따라 사용자 상호작용(예: 악성 URL 접속)이 필요하며, 렌더러 프로세스의 메모리 취약점을 트리거하여 샌드박스 내에서 임의 코드를 실행하고, 추정: 이후 샌드박스 탈출(Sandbox Escape) 기법을 체이닝하여 시스템 권한을 획득하는 경로를 가집니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:N과 AC:L로 네트워크를 통한 원격 공격이 가능하고 복잡도가 낮으나, 결정적으로 UI:R 조건이 붙어 있어 공격자가 정교하게 조작된 악성 웹페이지로 사용자를 유인해야 하는 '사용자 상호작용'이 필수적이기 때문입니다. 공격 표면은 Chromium 기반 Edge 브라우저의 렌더링 엔진 및 JavaScript 처리 프로세스로, 특정 취약한 파라미터나 메모리 구조를 트리거하는 웹 콘텐츠가 주요 진입점이 됩니다. EPSS 수치는 0.00987로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아 현재 야생에서 광범위하게 악용되는 사례는 드문 것으로 분석됩니다. 그러나 RCE(Remote Code Execution)라는 치명적인 영향도와 브라우저의 높은 노출도를 고려할 때, 타겟형 피싱(Spear Phishing)을 통한 정밀 공격 시 실제 위협으로 작용할 가능성이 충분합니다. 결과적으로 이론적 심각도는 높지만, 사용자 유인이라는 전제조건과 낮은 실측 악용률로 인해 즉각적인 대규모 확산 가능성보다는 잠재적 위험 요소로 분류됩니다.

악용 성공 시 공격자는 사용자 권한으로 임의 명령어를 실행할 수 있습니다. 이는 브라우저 내 저장된 세션 쿠키, 비밀번호 등 민감 데이터 탈취로 이어지며, 내부망 침투를 위한 교두보(Foothold)로 활용될 위험이 큽니다. 특히 기업 환경에서 Edge가 기본 브라우저로 사용될 경우, 사내 인트라넷 및 업무 시스템에 대한 무단 접근 가능성이 증가합니다.

유형상 RCE와 Memory-Corruption이 결합된 형태입니다. 단일 취약점만으로는 샌드박스 내에 격리되므로, 실제 시스템 제어권을 얻기 위해서는 권한 상승(Privilege Escalation)이나 샌드박스 탈출 취약점과 체이닝될 가능성이 매우 높습니다.

다중 소스 교차검증을 통해 데이터 일관성이 확인된 고위험군 취약점입니다. 다만, EPSS 실측값이 0.00987(백분위 0.59038)로 낮고 PoC가 미상이며 exploit 등급이 'hard'인 점을 고려할 때, 대규모 자동화 공격보다는 정밀한 타겟팅 공격 형태일 가능성이 높습니다. 따라서 단순 패턴보다 행위 기반 탐지에 집중합니다.

1. 로그 지표 및 수집 대상

• EDR/Sysmon: Event ID 1 (Process Creation) - msedge.exe의 자식 프로세스 생성 여부.
• Network Log: msedge.exe 또는 renderer.exe가 평소 사용하지 않는 외부 IP/포트로 직접 연결을 시도하는지 확인.

2. 탐지 규칙 예시

• Rule 1: 비정상 자식 프로세스 생성 (SIEM 의사코드)
  SELECT * FROM Process_Events WHERE ParentProcessName = 'msedge.exe' AND ProcessName IN ('cmd.exe', 'powershell.exe', 'sh.exe', 'curl.exe', 'wget.exe')
• Rule 2: 렌더러 프로세스의 이상 네트워크 행위 (정규식/패턴)
  추정: renderer.exe가 일반적인 HTTP/HTTPS(80, 443) 외의 포트로 Outbound 연결을 시도하는 패턴 탐지.
• Rule 3: 의심스러운 실행 인자 감시
  Process_CommandLine CONTAINS '--disable-features=' OR Process_CommandLine CONTAINS '--no-sandbox'

3. 오탐 튜닝 및 대응

• 오탐 시나리오: 브라우저 업데이트 프로세스나 특정 기업용 플러그인이 일시적으로 자식 프로세스를 생성하는 경우.
• 튜닝 방법: 정상적인 Edge 업데이트 경로(msedge_update.exe 등)와 서명된 바이너리 해시를 White-list에 추가하여 필터링합니다.

본 취약점은 CVSS 8.8의 High 심각도를 가지나, EPSS 수치와 exploit 난이도를 근거로 'scheduled(이번 주 내)' 우선순위로 결정되었습니다. 가용성 저해를 최소화하는 계층적 방어를 적용합니다.

1. 즉시 (긴급 차단)

• 조치: 호스트 기반 방화벽 또는 EDR 정책을 통해 msedge.exe 및 관련 렌더러 프로세스의 불필요한 Outbound 네트워크 연결(특히 비표준 포트)을 제한합니다.
• 난이도/영향/검증: 낮음 / 낮음 (웹 서핑 영향 미비) / netstat 또는 방화벽 로그로 차단 확인.

2. 단기 (완화)

• 조치: 렌더러 프로세스(renderer.exe)의 실행 경로를 AppContainer 등 격리된 샌드박스로 강제하거나, EDR에서 해당 프로세스의 위험 API 호출(예: VirtualAllocEx, WriteProcessMemory)을 모니터링/차단합니다.
• 난이도/영향/검증: 중간 / 중간 (일부 웹 앱 UI 마비 가능성 존재) / 테스트 환경에서 업무 시스템 접속 테스트 후 적용.

3. 근본 (해결)

• 조치: Microsoft Edge를 최신 버전(148.0.3967.70 이상)으로 업데이트합니다.
• 난이도/영향/검증: 낮음 / 매우 낮음 / edge://settings/help에서 버전 확인.

인시던트 대응 플레이북 (우선순위)

1. 네트워크 로그 분석: 외부로부터의 비정상적인 대량 트래픽 유입 및 렌더러 프로세스의 이상 Outbound 연결 확인.
2. 프로세스 트리 분석: msedge.exe $\rightarrow$ renderer.exe $\rightarrow$ cmd/powershell 형태의 실행 체인 존재 여부 조사.
3. 메모리 덤프 및 아티팩트 수집: 감염 의심 단말의 메모리 덤프를 통해 쉘코드 또는 페이로드 잔적 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00987 · exploit=hard · in_scope=None