[단독분석] 분석 — CVE-2026-65311

• 심각도 medium · CVSS 5.3 · EPSS 0.00269 · 악용난이도 moderate

네트워크에서 인증 없이 HTTP 요청을 ANDRITZ HIPASE‑250 HTTP 서버의 문서에 없던 /loglevel(예시) 엔드포인트로 전송하면, 로그 레벨과 로그 파일 경로가 변경됩니다. 이로 인해 감사 로그가 중단되거나 다른 위치로 리다이렉션되어 이후 공격 활동을 은폐할 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는 HTTP 서버의 비공개 엔드포인트가 인증 없이 로그 레벨과 대상 경로를 변경하도록 설계돼 있어, 공격자는 별도의 권한이나 사용자 조작 없이도 요청만으로 로그를 억제할 수 있습니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 “네트워크 접근만 있으면 복잡도가 낮고 권한·사용자 상호작용이 필요 없으며” 공격 난이도가 낮다는 것을 의미합니다. 다만 EPSS = 0.00269(≈0.27 %)는 현재까지 실제 악용 사례가 매우 드물며, KEV에 등재되지 않아 야생에서 활발히 이용되고 있지는 않음을 보여줍니다. 공격 표면은 HTTP 서비스가 노출된 모든 호스트와 해당 비공개 엔드포인트(예: /logLevelChange)이며, 파라미터만 조작하면 로그 억제가 가능하므로 내부망 또는 외부에서 포트 개방 상태에 따라 위험이 달라집니다. 따라서 네트워크 접근 권한을 가진 공격자는 낮은 난이도로 로그를 비활성화할 수 있지만, 현재 관측된 악용 빈도가 낮아 실제 위협 수준은 제한적이라고 평가됩니다.

• 기술적 위험

  • 로그 기록이 억제돼 침투 단계·추가 악성 행위가 보안 솔루션에 의해 탐지되지 않을 가능성이 있습니다.
  • 인증·권한 검증이 없으므로 네트워크 접근 가능한 모든 IP가 해당 엔드포인트를 호출할 수 있습니다.

• 비즈니스 리스크

  • 감사 로그 부재는 ISO 27001, NIST 800‑53 등 규제·컴플라이언스 위반 위험을 초래합니다.
  • 포렌식 및 사고 대응 시 로그가 부족해 조사 비용과 복구 시간이 증가할 수 있습니다.

• 영향 제품·노출 규모

  • ANDRITZ HIPASE‑250 (이전 명칭 250 SCALA) HTTP 서버 컴포넌트 전 버전에 존재함(버전은 확인되지 않음). 다중 소스에서 일관성이 확인되었습니다.
  • 외부망·내부망을 포함해 네트워크 접근 가능한 모든 호스트가 대상이 됩니다.

로그 레벨 변경 후 동일 시스템에 존재하는 원격 코드 실행(RCE)이나 인증 우회(CWE‑287, CWE‑200) 취약점을 연계하면 권한 상승 및 데이터 탈취가 가능해집니다.

• 네트워크: undocumented 로그 레벨 변경 URI에 대한 HTTP 요청을 IDS/IPS에서 경고하도록 설정합니다. 예시 Snort 룰
  alert tcp any any -> $HIPASE_HTTP any (msg:"CVE-2026-65311 log level change"; flow:to_server,established; content:"POST /loglevel"; http_method; sid:1000001;)
• 호스트: 로그 파일 생성 주기가 급격히 감소하거나 지정된 로그 디렉터리의 파일 크기가 0 B로 유지되는 현상을 모니터링합니다.

• 즉시 조치

  • 방화벽·WAF에서 해당 undocumented endpoint에 대한 접근을 차단하고, 신뢰 IP만 허용하도록 정책을 적용하십시오.
  • 가능하면 설정 파일에서 로그 레벨 변경 기능을 비활성화하십시오.

• 근본 해결

  • 공급업체가 제공하는 보안 패치를 이번 주 내에 배포·적용하고 서비스 재시작으로 반영하십시오. EPSS 0.00269(실측 악용 가능성이 낮지만 존재)와 CVSS 5.3을 근거로 우선순위는 “scheduled (이번 주 내)”로 결정되었습니다.
  • 중앙화된 SIEM 등 외부 로그 수집 체계를 구축해 로컬 로그 손실 위험을 최소화하십시오.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.3 · non-KEV · EPSS=0.00269 · exploit=moderate · in_scope=None