[단독분석] 분석 — CVE-2026-65309

• 심각도 high · CVSS 7.5 · EPSS 0.00152 · 악용난이도 moderate

공격자는 ANDRITZ HIPASE‑250이 사용자 비밀번호를 일방향 해시가 아닌 복호 가능한 형태로 저장·전송한다는 설계 결함을 이용합니다.

1. 시스템 내부에서 인증 정보 파일(예: credential.db)을 읽어내거나, 2) 네트워크 트래픽을 스니핑하여 암호화된 비밀번호 데이터를 획득하면, 복호화 과정을 통해 모든 저장 비밀번호를 복원할 수 있습니다.
   이 과정은 별도의 권한 상승 없이도 네트워크 접근권이나 파일 읽기 권한만 있으면 수행됩니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크를 통해 직접 대상에 접근할 수 있고(AV:N), 복잡한 사전 준비 없이 간단한 도구만으로도 시도가 가능함을 의미합니다(AC:L). 또한 권한이 전혀 필요하지 않으며(PR:N) 사용자 개입도 요구되지 않으므로(UI:N) 공격자는 자동화된 스크립트로 연속적으로 시도할 수 있습니다. 이 취약점의 주요 공격 표면은 비밀번호가 가역적인 형태로 저장되는 파일 시스템 경로나, 해당 데이터를 평문으로 전송하는 네트워크 프로토콜이며, 이를 읽거나 캡처할 수 있는 위치에 노출된 엔드포인트가 존재하면 바로 악용이 가능합니다. EPSS 값이 0.00152(≈0.15 %)로 매우 낮아 현재 실제 위협이 발생할 확률은 제한적이나, 가역형 비밀번호 저장 자체가 기본적인 방어를 무력화하므로 위험도가 완전히 배제되지는 않습니다. KEV 리스트에 등재되지 않은 점은 아직 공개적으로 확인된 악용 사례가 없음을 나타내지만, 이는 공격자가 필요한 접근 권한을 확보했을 경우 빠르게 악용될 수 있음을 의미합니다. 따라서 난이도는 낮게 평가되지만, 네트워크 노출 환경에서는 충분히 실현 가능한 위협으로 간주해야 합니다.

• 기술적 위험:
  • 비밀번호가 복구 가능하므로 공격자는 인증된 사용자 계정으로 시스템에 무단 로그인할 수 있습니다.
  • 탈취된 자격 증명을 이용해 다른 내부 서비스나 관리 인터페이스에 접근함으로써 횡적 이동(lateral movement)이 가능해집니다.
• 비즈니스 리스크:
  • 인증 정보 유출은 운영 중단 없이도 민감 데이터(공정 제어, 설계 문서 등)에 대한 무단 접근을 초래할 수 있어 생산 라인 가동률에 직접적인 영향을 미칠 위험이 있습니다.
  • 규제·컴플라이언스 측면에서 비밀번호 관리 기준(예: PCI‑DSS, ISO 27001) 위반으로 인한 벌금 및 신뢰도 손상이 발생할 수 있습니다.
• 영향 제품·노출 규모: 현재 보고된 영향은 ANDRITZ HIPASE‑250 (구 250 SCALA) 전 버전에 해당합니다. 구체적인 배포 규모는 공개되지 않았으나, 다중 소스에서 일관성이 확인되었으며([교차검증] 다중 소스 데이터 일관성 확인됨) 따라서 해당 제품을 운영 중인 모든 현장에 동일한 위험이 존재합니다.

복호 가능한 비밀번호 저장은 인증 우회와 연계될 가능성이 높습니다. 예를 들어, 이미 알려진 서비스 거부(DoS)나 원격 코드 실행(RCE) 취약점을 통해 시스템 접근 권한을 획득한 뒤, 이 취약점으로부터 얻은 자격 증명을 이용해 관리자 계정으로 승격할 수 있습니다. 현재 확인된 구체적인 CVE 번호는 없습니다.

• 파일·시스템 모니터링: 인증 정보 파일(예: *.db, *.cred)에 대한 읽기 이벤트를 로깅하고, 비정상적인 접근 시 알림을 생성합니다.
• 네트워크 트래픽 분석: 평문 혹은 복호 가능한 형식으로 전송되는 비밀번호 패턴(Password=\w+;)이 포함된 TCP/UDP 흐름을 IDS/IPS에서 탐지합니다. (예시 정규식: (?i)password\s*[:=]\s*[a-zA-Z0-9+/]{8,})
• 인증 로그: 비정상적인 로그인 시도(특히 동일 IP·계정에 대한 다중 성공/실패)가 감지되면 조사합니다.

1. 즉시 조치
   • 모든 사용자 비밀번호를 강제 재설정하고, 기존 비밀번호는 즉시 폐기합니다.
   • 인증 정보 파일 및 해당 네트워크 포트를 접근 제어 목록(ACL)로 제한하고, 최소 권한 원칙에 따라 읽기 권한을 차단합니다.
2. 근본 해결
   • 공급업체에서 제공하는 패치를 적용하거나, 비밀번호 저장 방식을 SHA‑256 이상의 일방향 해시와 솔트(salt)를 사용하도록 시스템 설정을 변경합니다.
   • 전송 시 TLS 등 암호화된 채널을 강제하고, 기존에 수집된 복호 가능한 비밀번호는 모두 폐기합니다.
3. 추가 방어
   • EPSS 0.00152(실측 악용 예측)와 CVSS 7.5를 고려하여 이번 주 내(scheduled) 대응 일정에 포함시키고, 침해 사고 대응 팀과 연계한 모니터링을 강화합니다.

위 조치를 통해 현재 확인된 위험을 최소화하고 향후 유사 취약점 악용을 방지할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00152 · exploit=moderate · in_scope=None