[단독분석] 분석 — CVE-2026-7570

• 심각도 high · CVSS 8.8 · EPSS 0.00689 · 악용난이도 hard

• 진입점: NVBUDashboard 인터페이스의 JSON-RPC 메시지 처리 모듈.
• 취약점 원리: 사용자 입력값에 대한 적절한 검증 없이 SQL 쿼리를 생성하는 로직 결함으로 인해 SQL Injection이 발생합니다.
• 공격 경로: 기본적으로 인증이 필요하나, 기존 인증 메커니즘을 우회(Bypass)하여 외부 공격자가 접근 가능한 상태입니다.
• 최종 단계: SQLi를 통해 데이터베이스 제어권을 획득한 후, 이를 기반으로 NETWORK SERVICE 권한의 임의 코드 실행(RCE)으로 확장합니다.

악용 가능성: 본 취약점은 AV:N/AC:L 벡터를 통해 네트워크상에서 복잡한 조건 없이 접근 가능하나, PR:L 조건에 따라 기본적으로는 인증된 권한이 필요하여 공격 난이도가 hard로 판정되었습니다. 다만, 설명에 명시된 인증 메커니즘 우회(Authentication Bypass)가 실현될 경우, 실제 진입 장벽은 낮아져 원격 공격자가 직접적인 타겟팅을 수행할 가능성이 존재합니다. 공격 표면은 NVBUDashboard의 JSON-RPC 메시지를 처리하는 엔드포인트이며, 사용자 입력 문자열이 SQL 쿼리로 구성되는 과정에서 발생하는 SQL Injection이 트리거 조건입니다. 성공 시 NETWORK SERVICE 권한으로 임의 코드 실행(RCE)이 가능해 시스템 전체의 제어권을 상실할 수 있는 치명적인 위험을 내포하고 있습니다. 그럼에도 불구하고 KEV 미등재 상태이며 EPSS 값이 0.00689로 매우 낮게 측정된 점은, 현재 야생(In-the-wild)에서의 대규모 악용 사례가 관측되지 않았음을 시사합니다. 따라서 이론적 심각도는 높으나 실제 악용 가능성은 특정 타겟을 겨냥한 정밀 공격 시나리오에 국한될 것으로 분석됩니다.

• 영향 제품 및 범위: Quest NetVault Backup v14.0.2 미만 버전.
• 기술적 위험:
  • 시스템 제어권 탈취: 공격자가 NETWORK SERVICE 권한을 획득하므로, 서버 내 파일 시스템 접근 및 OS 명령어 실행이 가능하여 시스템 전체가 장악될 수 있습니다.
  • 백업 데이터 무력화: SQLi를 통해 백업 관리 DB의 메타데이터나 설정을 조작·삭제함으로써 정상적인 복구 프로세스를 방해할 수 있습니다.
• 비즈니스 리스크:
  • 최후 보루 상실: 랜섬웨어 공격 시 가장 먼저 무력화시켜야 하는 타겟이 백업 솔루션인 점을 고려할 때, 본 취약점 악용 시 재해 복구(DR) 체계가 완전히 붕괴되어 비즈니스 연속성 확보가 불가능해집니다.
  • 데이터 가용성 상실: 핵심 데이터 보호 체계의 침해로 인해 법적 데이터 보존 의무 및 컴플라이언스 준수 실패 리스크가 발생합니다.

• 권한 상승 체인: [인증 우회] $\rightarrow$ [SQL Injection] $\rightarrow$ [RCE] 순으로 이어지는 공격 체인을 통해, 인증되지 않은 외부자가 시스템 권한을 획득하는 구조입니다.

• 네트워크: NVBUDashboard 엔드포인트로 유입되는 JSON-RPC 요청 페이로드 내 SQL 예약어(UNION, SELECT, UPDATE) 및 특수문자(', --, ;) 패턴 모니터링.
• 호스트: NETWORK SERVICE 계정으로 실행되는 비정상적인 자식 프로세스(예: cmd.exe, powershell.exe) 생성 여부 추적.

• 근본 해결: Quest NetVault Backup v14.0.2 이상 버전으로 업데이트하여 입력값 검증 로직을 적용합니다.
• 즉시 조치:
  • NVBUDashboard 서비스에 대한 접근 제어 목록(ACL)을 설정하여 신뢰된 관리자 IP로만 접속을 제한합니다.
  • WAF에서 JSON-RPC 페이로드 내 SQL Injection 시그니처 차단 규칙을 활성화합니다.

[분석가 주석: 우선순위 및 위험도 판단 근거]
본 분석은 다중 소스 교차검증을 통해 데이터 일관성이 확인되었습니다(신뢰도 1.0). 실측 EPSS 값(0.00689, 백분위 0.49236)이 낮고 KEV에 등재되지 않아 야생에서의 대규모 악용 가능성은 'Hard' 등급으로 판단됩니다. 그러나 CVSS 8.8의 높은 심각도와 RCE라는 치명적 영향력을 고려하여, 규칙 기반 우선순위에 따라 이번 주 내(scheduled) 조치를 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00689 · exploit=hard · in_scope=None