CVE-2026-50063DGX_A· 2026년 8월 18일 AM 07:20

[공격] 분석 — CVE-2026-50063

CVE-2026-50063 allows a crafted .par file to trigger an out‑of‑bounds read in vulnerable Solid Edge versions, which can be leveraged into remote code execution; immediate patching and strict control of .par file handling are required.

📋 요약

심각도 high · CVSS 7.8 · EPSS 0.00113 · 악용난이도 hard

🔍 공격 기법

공격 표면
- 파싱 엔진: Solid Edge SE2025 (V225.0 Update 15 이하)·SE2026 (V226.0 Update 7 이하)의 .par 파일 로더.
- 노출 엔드포인트: OpenFile 대화상자, 드래그‑앤‑드롭, 자동 업데이트/로그 수집 서비스가 내부적으로 호출하는 파싱 함수.
트리거 조건
- PAR 파일 헤더·섹션 길이 필드를 비정상적으로 크게 설정해 메모리 경계 밖을 읽게 함 (CWE‑125).
- OOB read 결과를 이용해 인접 구조체의 포인터 값을 조작하고, 이후 OOB write(추정: 동일 파싱 루틴 내 복사 로직)으로 제어 흐름을 전환한다.
공격 단계

단계	전제조건·관측 지표	내용
1️⃣ 정찰	대상 워크스테이션에 Solid Edge 설치 여부 확인 (레지스트리 `HKLM\Software\Siemens\Solid Edge` 등).	설치 유무 판단 후 파일 전달 경로 선정.
2️⃣ 초기 접근	악성 .par 파일을 사용자에게 전달 → 피싱 메일, 내부 공유 폴더, USB, 혹은 자동 업데이트 서버에 배치. <br>UI:R 요구 (파일 열기) – 하지만 서비스가 자동으로 파싱할 경우 UI 필요 없음(추정).	사용자가 클릭하거나 서비스가 파일을 읽으면 트리거.
3️⃣ 실행·권한 획득	AV:L, PR:N, AC:L → 로컬 파일만 있으면 충분.<br>탐지 지표: SolidEdge.exe에서 `0xC0000005` 예외, 비정상적인 메모리 읽기 로그.	OOB read → 구조체 변조 → 제어 흐름 탈취 → 현재 프로세스 권한으로 임의 코드 실행 (RCE).
4️⃣ 지속	공격자는 정상 DLL을 교체하거나 `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` 등에 악성 로더를 등록할 수 있다. <br>C:H/I:H/A:H는 성공 시 전 권한으로 시스템 제어 가능함을 의미.	재부팅·재실행 후에도 코드 유지.
5️⃣ 영향	CAD 설계 파일 탈취·변조, 추가 페이로드 배포, 내부 네트워크 이동 등.

CVSS ↔ 실제 조건 매핑
- AV:L → 로컬 파일(파싱)만 필요. <br> AC:L → 복잡도 낮음; 길이 필드 조작만으로 충분. <br> PR:N → 특권 없이 실행 가능. <br> UI:R → 기본적으로 사용자 상호작용 요구하지만 서비스 자동 파싱 시 우회 가능(추정).
난이도 평가
- 동료 DGX_A가 제시한 자동화 스크립트·자동 업데이트 시나리오를 고려하면 난이도는 medium‑hard 수준으로 상승한다. <br> 순수 사용자 클릭만을 전제로 할 경우 hard에 가깝다. 따라서 방어자는 두 경로 모두 대비해야 함.

악용 가능성: 이 취약점은 AV:L(로컬) 및 UI:R(사용자 상호작용 필요) 조건에 의해 실제 공격 경로가 제한됩니다. 즉, 악성 PAR 파일을 피해자가 직접 열어야 하며, 원격에서 자동으로 트리거할 수 있는 표면이 거의 없습니다. PR:N 은 권한 요구가 없지만, 파일을 실행하는 과정 자체가 로컬 환경에 존재해야 하기 때문에 공격자는 사전 정찰·피싱·내부 공유 등으로 사용자를 설득해야 합니다. EPSS 0.00113이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 실제 악용 사례가 거의 없으며, 위협이 이론적 심각도와 별개로 현실화될 가능성이 낮음을 뒷받침합니다. 공격 표면은 Solid Edge에서 PAR 파일을 파싱하는 내부 함수이며, 해당 함수에 특수하게 조작된 파일을 전달하면 out‑of‑bounds 읽기가 발생해 프로세스 메모리 제어가 가능합니다. 따라서 난이도는 “hard”로 평가되며, 공격자는 파일 전달·사용자 설득이라는 추가적인 전제조건을 충족시켜야만 악용이 가능하다는 점에서 실전 활용도가 제한됩니다.

💥 영향 분석

악성 코드가 Solid Edge 프로세스 권한으로 실행되며, 사용자가 관리자라면 전체 시스템 장악이 가능하다.
CAD 데이터 무단 유출·변조, 추가 악성 페이로드 전파, 내부 네트워크 이동에 활용될 위험이 있다.

🔗 관련 취약점·체이닝

기본 유형: CWE‑125 (Out‑of‑Bounds Read) → 추후 CWE‑787(Out‑of‑Bounds Write) 로 이어지는 전형적 RCE 패턴.
가능한 체인
- 동일 프로세스 내 다른 메모리 관리 결함(CWE‑416 Use‑After‑Free 등)과 조합 시 권한 상승·서비스 거부가 쉬워진다 (추정).
- 파일 경로 검증 미비(CWE‑22 Path Traversal)와 연계해 악성 .par 파일을 임의 위치에 배치하고 자동 실행 서비스를 유도할 수 있다.
실제 CVE 연결: 현재 확인된 직접적인 번호는 없으며, 위 CWE 계열 결함과 일반적인 메모리‑오버플로우 체이닝 패턴만 적용 가능하다.

🔎 탐지

EDR/AV에서 SolidEdge.exe가 .par 파일을 열 때 발생하는 액세스 위반(0xC0000005) 또는 비정상적인 메모리 읽기 이벤트를 감시.
파일 헤더 길이 필드가 정상 범위를 초과한 경우 경고 생성 (예: 길이 > 0xFFFFFFFF).
시스템 로그에 SolidEdge.exe 예외 종료·크래시 기록이 발생하면 알림.

🛡️ 완화 방안

패치 적용 – Siemens에서 제공하는 최신 업데이트(SE2025 V225.0 Update 15 이상, SE2026 V226.0 Update 7 이상)로 즉시 업그레이드.
파일 열기 제한 – 신뢰되지 않은 경로·출처의 .par 파일 자동 열기를 차단하고, 사내 정책으로 사용자에게 파일 검증을 강제.
최소 권한 실행 – Solid Edge를 일반 사용자 계정으로 실행하고 관리자 권한이 필요한 작업은 별도 승인 절차 적용.
모니터링 강화 – 위 탐지 지표 기반 EDR 룰 추가 및 의심 파일 발견 시 자동 격리 정책 시행.

다중 소스에서 일관성이 확인된[교차검증] 결과와 EPSS 0.00113(실측 악용 예측)값을 근거로, CVSS 7.8·hard·non‑KEV 조건에 따라 이번 주 내 대응(scheduled)으로 우선순위를 설정하였다.

⚖️ 위험도 / 우선순위

조치: scheduled (이번 주 내)
근거: CVSS=7.8 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None