[공격] 분석 — CVE-2026-50060

• 심각도 high · CVSS 7.8 · EPSS 0.00113 · 악용난이도 hard

• 공격 표면 : Solid Edge SE2025/SE2026에서 .dft 파일을 열 때 호출되는 내부 파서 함수. 파일 경로는 로컬(AV:L)이며 UI‑R이 필요함.

• 트리거 조건 : 특수히 조작된 DFT 구조체가 해제된 메모리를 다시 참조하도록 만든다(Use‑After‑Free). 공격자는 파일을 만든 뒤 피victim에게 열도록 유도한다.

• 단계 흐름

  1. 정찰 – 대상 조직이 Solid Edge를 사용하고 최신 업데이트 미적용 버전을 운영 중인지 확인(버전 < V225.0 Update 15 또는 < V226.0 Update 7).
  2. 초기 접근 – 피victim에게 악성 .dft 파일을 이메일, 내부 공유 드라이브, USB 등으로 전달하고 “열어 보세요”라고 유도한다(UI:R).
  3. 실행·권한 획득 – 파일 파싱 중 Use‑After‑Free가 발생하면 공격자가 제어하는 코드를 현재 Solid Edge 프로세스 컨텍스트에서 실행한다(CVE-2026-50060). PR:N이므로 별도 권한이 필요 없으며, 로컬 사용자는 이미 해당 프로세스에 대한 권한을 갖는다.
  4. 지속 – 실행된 코드는 악성 DLL을 로드하거나 Windows 레지스트리/시작 프로그램에 등록해 다음 실행 시 자동 재사용하도록 할 수 있다(추정).
  5. 영향 – 프로세스 전체 권한으로 임의 코드가 실행돼 사용자 계정을 완전 장악하고, 네트워크 전파·파일 유출 등 추가 공격을 수행한다.

• CVSS 벡터와 실제 조건 매핑 : AV:L → 파일 로컬 전달, AC:L → 복잡도 낮음(특수 파일 생성만 필요), PR:N → 권한 요구 없음, UI:R → 사용자가 파일을 열어야 함, S:U → 영향이 전체 시스템에 미침, C/H/I/A:H → 성공 시 기밀·무결·가용 전부 위협.

악용 가능성: 이 취약점은 AV:L(로컬)이며 UI:R(사용자 상호작용)이 필요하므로 공격자는 피해자의 시스템에 접근해 악성 DFT 파일을 열도록 유인해야 합니다. AC:L(낮은 복잡도)와 PR:N(특권 없음) 덕분에 파일을 열기만 하면 충분히 트리거될 수 있어, 실제 exploit 구현 난이도는 비교적 낮지만 초기 접근 단계가 가장 큰 장벽입니다. EPSS 0.00113이라는 실측값은 현재까지 보고된 악용 사례가 매우 드물지만, 완전히 무시할 수 없는 수준임을 보여줍니다. KEV에 등재되지 않은 점은 공격자들이 이 취약점을 대규모 표적 공격에 활용하고 있지는 않다는 의미이지만, 맞춤형 피싱이나 내부 위협 시나리오에서는 충분히 이용될 가능성이 있습니다. 공격 표면은 Solid Edge의 DFT 파일 파서이며, 외부에서 직접 노출되는 엔드포인트는 “파일 열기/가져오기” UI와 해당 파일 경로 파라미터뿐입니다. 따라서 악성 DFT 파일을 사용자에게 전달하고 실행하게 만드는 사회공학이 핵심 공격 경로가 되며, 성공 시 현재 프로세스 권한으로 임의 코드를 실행할 수 있습니다.

• 악성 DFT 파일을 열면 Solid Edge 프로세스 내부에서 임의 코드가 실행되어 현재 사용자 계정(보통 로컬 관리자 권한) 전체를 장악한다.
• 이후 공격자는 파일 시스템 접근, 네트워크 인증 토큰 탈취, 추가 악성 소프트웨어 설치 등 전형적인 RCE 후 행위를 수행할 수 있다.

• 유형 : CWE‑416 Use‑After‑Free (Memory‑Corruption).
• 일반 체인 패턴 :
  • Use‑After‑Free → Heap‑spray/Controlled‑allocation → Arbitrary‑code execution.
  • 실행된 코드가 DLL hijacking, COM object registration 등을 이용해 영구적 로드(추정) → 지속성 확보.
• 현재 보고된 CVE 외에 동일 제품에서 발견된 파일 파싱 관련 메모리 손상(CWE‑787 등)이 있다면 연계 공격이 가능하지만, 구체적인 CVE 번호는 확인되지 않아 **‘추정:’**으로 표시한다.

• Solid Edge 실행 중 .dft 로드 시 비정상적인 AccessViolationException 또는 0xC0000005 예외 발생 로그.
• Windows Event ID 1000/1001에 “SolidEdge.exe”가 크래시된 기록과 함께 파일 경로가 .dft인 경우.
• EDR이 메모리 해제 후 재사용(UseAfterFree) 패턴을 감지하면 알림.

• 즉시 : 벤더에서 제공하는 최신 업데이트(V225.0 Update 15 이상, V226.0 Update 7 이상) 적용.
• 임시 차단 : AppLocker 또는 Software Restriction Policies로 .dft 파일 실행을 금지하고, 사용자에게 의심 파일 열기를 금지하도록 교육.
• 권한 최소화 : Solid Edge를 일반 사용자 권한으로 실행하고 관리자 권한이 필요할 경우 별도 승인을 거치게 함.
• 감시 : 위 탐지 지표를 EDR/SIEM에 연동해 실시간 알림 설정.

※ 본 보고서는 다중 소스 교차검증을 통해 일관성이 확인되었으며([교차검증]), EPSS 0.00113이라는 실제 악용 확률이 낮음에도 불구하고 CVSS 7.8·non‑KEV·hard exploit 등 규칙 기반 우선순위 결정에 따라 이번 주 내 대응을 권고합니다([우선순위 결정]).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None