[방어] 분석 — CVE-2026-12390

• 심각도 high · CVSS 7.8 · EPSS 0.00135 · 악용난이도 hard

악의적인 .ctl 파일에 조작된 객체 타입을 삽입해 DAQFactory가 이를 파싱할 때 메모리 오버라이트가 발생하고, 결과적으로 임의 코드가 실행됩니다. 공격자는 로컬 시스템에 접근하거나, HTTP API·파일 업로드·디렉터리 트래버설 등으로 .ctl 파일을 배치한 뒤 DAQFactory 프로세스가 해당 파일을 자동 로드하도록 유도합니다.

악용 가능성: AV:L·AC:L·PR:N·UI:R 라는 CVSS 벡터는 공격자가 로컬에 파일을 배치하고 사용자가 해당 .ctl 파일을 열어야만 취약점이 발동한다는 의미입니다. 즉, 네트워크 공유 디렉터리, 이메일 첨부, 혹은 USB 등으로 파일을 전달할 수 있는 환경이라면 복잡도는 낮지만 사용자 행동이라는 진입 장벽이 존재합니다. EPSS = 0.00135(≈0.135 %)라는 실측값은 현재까지 관찰된 악용 사례가 극히 드물지만, 완전히 무시할 수준은 아니라는 점을 보여줍니다. KEV에 등재되지 않은 것은 아직 대규모 공격 캠페인이나 자동화 도구가 이를 활용하고 있지 않다는 것을 의미합니다. 따라서 공격 표면은 DAQFactory 21.1 이하 버전이 설치된 워크스테이션·서버와, 해당 프로그램이 .ctl 파일을 읽어들이는 모든 입력 경로(파일 시스템, 네트워크 공유, 이메일 등)입니다. 로컬 파일 배치가 가능한 내부 위협이나 피싱/사회공학에 의해 사용자가 파일을 실행할 경우, 낮은 난이도로 코드 실행까지 이어질 수 있으나 외부에서 직접 원격으로 공격하기는 어렵습니다. 이러한 조건들 때문에 평가 등급은 “hard”로 유지됩니다.

성공 시 공격자는 DAQFactory가 실행 중인 호스트의 권한으로 임의 코드를 실행할 수 있습니다. 이는 시스템 전체 장악, 민감 데이터 탈취, 네트워크 내부 이동 등 전반적인 기밀·무결성·가용성 위협을 초래합니다.

유사한 파일 파싱 타입 혼동 취약점(CWE‑843)과 결합하면, 사전 단계에서 웹 애플리케이션의 파일 업로드 취약점(예: CVE‑2025‑xxxx) 등을 이용해 원격으로 .ctl 파일을 배치하고 이어서 이 취약점을 활용하는 체인이 가능할 수 있습니다.

• 로그 위치·필드

  • DAQFactory 애플리케이션 로그 (daqfactory.log): FileLoad, FilePath, ResultCode.
  • Windows 이벤트 로그 (응용 프로그램/보안) – EventID 1000 (프로세스 오류), EventID 4688 (프로세스 생성)에서 CommandLine에 “*.ctl” 문자열 포함 여부.
  • 파일 시스템 감시 (Sysmon Event ID 11) – TargetFilename 필드에 .ctl 확장자와 함께 ProcessName이 DAQFactory.exe인 경우.

• 탐지 규칙 예시

  1. SIEM Query – 파일 로드 실패 패턴

 1SELECT *
 2FROM logs
 3WHERE source = 'daqfactory'
 4  AND message LIKE '%Loading .ctl file%'
 5  AND result != 'Success'

1. Sysmon 기반 의심 프로세스 실행

 1EventID=4688 
 2AND NewProcessName='*DAQFactory.exe' 
 3AND CommandLine LIKE '*\.ctl*'

1. 정규식 – 비정상적인 .ctl 파일 구조 (파일 무결성 모니터링 도구에서 사용)

 1^\x00{0,4}([A-Za-z0-9]{8})\xFF\xFF.*$

 1 *위 패턴은 정상 DAQFactory .ctl 헤더와 일치하지 않는 경우를 탐지합니다.*

• 오탐 튜닝
  • 정상 운영에서 정기적으로 배포되는 템플릿 .ctl 파일이 존재한다면, 해당 파일 해시값을 화이트리스트에 추가하고 “ResultCode=Success”인 이벤트만 제외합니다.
  • 내부 테스트 자동화 파이프라인이 .ctl 파일을 임시 디렉터리에 생성하는 경우, 프로세스 이름이 ci-runner.exe 등으로 제한된 경우를 조건에 포함해 오탐을 감소시킵니다.

• 즉시(긴급 차단)

  • OS‑level ACL 적용: DAQFactory.exe가 .ctl 파일이 위치한 디렉터리(C:\ProgramData\DAQFactory\configs)에 대한 읽기 권한을 제거하고, 대신 신뢰된 관리자가 수동으로 복사하도록 제한합니다.
    • 난이도: 낮음 (그룹 정책 또는 로컬 보안 정책 수정).
    • 운영 영향: DAQFactory가 자동으로 설정 파일을 로드하지 못해 서비스 재시작 필요; 일시적 기능 중단.
    • 검증: 파일 접근 시도 로그에 “Access Denied” 이벤트(4625) 발생 여부 확인.

• 단기(완화)

  1. 파일 무결성 검증 – SHA‑256 해시 기반 화이트리스트를 구축하고, FileSystemWatcher 또는 EDR에서 비화이트리스트 .ctl 파일 생성·수정을 차단합니다.

     • 난이도: 중간 (해시 수집 및 정책 적용).
     • 운영 영향: 정상 파일 업데이트 시 절차 추가 필요.
     • 검증: 허용된 해시만 로그에 “FileAllowed” 표시되는지 확인.

  2. 프로세스 최소 권한 실행 – DAQFactory 서비스를 로컬 시스템 계정이 아닌 전용 제한형 서비스 계정(daqsvc)으로 실행하고, 해당 계정에 파일 시스템 및 네트워크 권한을 최소화합니다.

     • 난이도: 중간 (서비스 계정 생성·권한 조정).
     • 운영 영향: 기존 자동 업데이트가 실패할 수 있음; 사전 테스트 필요.
     • 검증: 서비스 시작 시 EventID 7045에 새로운 계정 표시 여부 확인.

  3. 네트워크 격리 – DAQFactory 서버를 별도 VLAN에 배치하고, 외부 IP·포트(특히 HTTP API) 접근을 방화벽 ACL로 차단합니다.

     • 난이도: 중간~높음 (네트워크 설계 변경).
     • 운영 영향: 기존 시스템 간 통신 경로 재설정 필요.
     • 검증: VLAN 내부 트래픽만 허용되는지 패킷 캡처로 확인.

• 근본(해결)

  • 패치/업그레이드 – AzeoTech 공식 패치를 적용하거나 DAQFactory 21.1 이상 버전으로 업그레이드합니다. 공급자가 제공하는 최신 릴리즈는 타입 혼동 검증 로직을 강화하고, .ctl 파싱 경로를 안전하게 샌드박스화했습니다.
    • 난이도: 높음 (버전 호환성 테스트 및 다운타임 필요).
    • 운영 영향: 서비스 중단 시간 발생 가능; 버전 차이에 따라 설정 마이그레이션 필요.
    • 검증: 업그레이드 후 동일 파일 로드 시 ResultCode=Success와 함께 오류 로그가 사라지는지 확인.

• 잔여 리스크

  • 패치 적용 전까지는 위 임시·단기 조치를 유지해야 하며, 파일 무결성 화이트리스트에 누락된 정상 .ctl 파일이 차단될 위험이 있습니다. 또한, 공격자가 다른 파일 형식(예: XML)으로 동일한 타입 혼동을 유도할 가능성이 있으므로, 전반적인 파싱 로직 검토가 필요합니다.

• 인시던트 대응 플레이북

  1. 알림 수신 → Sysmon/EventID 4688/4625 로그에서 DAQFactory.exe와 .ctl 파일 경로 확인.
  2. 해당 호스트 격리 → 네트워크 차단 및 프로세스 강제 종료.
  3. 파일 무결성 검사 → 비화이트리스트 .ctl 파일을 격리하고 해시 수집.
  4. 원인 분석 → 악성 .ctl 파일이 배치된 경로와 초기 진입점(업로드, 공유 폴더 등) 파악.
  5. 복구 → 정상 .ctl 파일 재배포·ACL 복원·서비스 재시작 후 로그 재검증.

위 조치를 순차적으로 적용하면 현재 알려진 타입 혼동 취약점에 대한 위험을 즉시 차단하고, 패치 전까지 운영 환경의 안전성을 유지할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00135 · exploit=hard · in_scope=None