[단독공격] 분석 — CVE-2022-27593

• 심각도 critical · CVSS 10.0 · EPSS 0.87908 · 악용난이도 easy · KEV

• 정찰

  • HTTP/HTTPS 포트(80·443)에서 /photoStation/ 혹은 /PhotoStation/api/ 경로를 스캔하여 버전 정보를 획득한다.
  • Server: QNAP 헤더와 X-PHOTO-STATION-VERSION 같은 커스텀 헤더가 존재하면 취약 여부 판단에 활용된다. (다중 소스 교차검증 결과 일관성이 확인됨)

• 초기 접근

  • 외부에서 제어 가능한 리소스 URL을 파라미터(src, url, path 등)로 전달하는 요청을 전송한다.
  • 해당 파라미터는 Photo Station 백엔드가 파일을 다운로드하거나 포함(include)할 때 사용되며, 입력 검증이 부재해 SSRF/임의 파일 쓰기가 가능하게 된다. (추정: /photoStation/api/v1/file/import 등)

• 실행·권한 획득

  • Photo Station 서비스는 QTS 시스템 레벨 권한(root)으로 동작하므로, 성공적인 파일 쓰기는 즉시 전체 시스템 제어를 제공한다.
  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N와 일치하게 네트워크만 접근 가능하고 인증·사용자 상호작용이 전혀 필요하지 않다.

• 지속

  • 공격자는 /etc/init.d/qnapd 혹은 /usr/local/etc/config.xml 같은 부팅 스크립트·구성 파일을 교체해 영구적인 루트 셸을 확보한다.

• 영향

  • 시스템 파일 변조 → 서비스 탈취, 데이터 유출, 랜섬웨어 배포 등 전면적인 NAS 장악이 가능하다.

EPSS = 0.87908 (실측 악용 예측)와 KEV 등재가 확인된 상황에서 즉시 대응(우선순위: immediate)이 규칙 기반으로 결정되었다.

악용 가능성: AV가 Network이고 AC가 Low이며 PR이 None, UI가 None인 점은 공격자가 인증 없이 인터넷을 통해 바로 접근 가능한 Photo Station API 엔드포인트(예: /photo/api/v1/file 등)와 조작 가능한 파라미터(파일 경로나 URL)를 제공한다는 의미입니다. 실제 EPSS 0.87908이라는 높은 실측 확률과 KEV에 등재된 점은 이미 악용 사례가 보고돼 이론적 심각도와 무관하게 현장에서 빈번히 발생하고 있음을 강력히 뒷받침합니다. 공격자는 먼저 포트 80/443이 열려 있는 QNAP NAS를 스캔해 Photo Station 서비스를 식별한 뒤, 외부에서 제어 가능한 리소스(예: 악성 이미지 URL)를 파라미터에 삽입해 요청을 전송하면 파일 쓰기 권한이 부여됩니다. 인증·세션 단계가 없으므로 초기 접근부터 바로 파일 시스템 수정까지 일련의 과정이 단일 HTTP POST/GET 호출로 완료될 수 있습니다. 이때 조작 가능한 경로는 웹 서버 루트 및 설정 디렉터리 등 시스템 파일 전반에 걸쳐 노출되며, 성공 시 임의 코드 삽입·백도어 설치 등 지속성을 확보할 수 있는 기반이 됩니다. 따라서 공격 난이도는 ‘easy’ 수준이며, 실제 악용 가능성이 매우 높다는 점을 방어자는 반드시 인지해야 합니다.

• 파일 무결성 파괴 : 핵심 시스템 바이너리·설정 파일이 임의로 교체돼 OS 전체가 조작됨.
• 데이터 손실/유출 : NAS에 저장된 모든 멀티미디어·백업 데이터에 대한 접근 권한을 획득함.
• 네트워크 전파 : 루트 권한으로 다른 QNAP 서비스(QTS, Container Station 등)까지 악용 가능.

• SSRF → 임의 파일 쓰기 패턴은 기존 웹 어플리케이션 SSRF(CWE‑918)와 유사하며, 성공 시 파일 포함이나 코드 실행으로 이어진다.
• 다른 QNAP 서비스에 존재하는 권한 상승 취약점(예: CVE‑2021‑xxxxx, 구체적 번호 미확인)과 결합하면, 초기 SSRF 없이도 로컬 권한 상승이 가능해질 수 있다. (추정)
• 파일 무결성 검증 부재(CWE‑354)와 조합될 경우, 변조된 파일이 재시작 시 자동 실행돼 RCE로 전환된다.

• 웹 서버 접근 로그에 외부 도메인(예: http://attacker.com/...)을 가리키는 파라미터가 포함된 GET/POST 요청이 기록될 경우 경보.
• 파일 시스템 감시(inotify, auditd)에서 /etc/*·/usr/local/* 등 루트 권한 디렉터리에 비정상적인 쓰기 이벤트 발생 시 알림.
• QTS 내부 로그에 Photo Station 서비스 재시작 또는 구성 파일 변경 기록이 급증하면 의심.

1. 패치 적용 – 즉시 QTS 5.0.1 이상 및 Photo Station 6.1.2(또는 해당 버전)으로 업데이트한다.
2. 서비스 비활성화 – 패치 전까지 불필요한 경우 Photo Station 애플리케이션을 비활성화하거나 네트워크 차단.
3. 입력 검증 강화 – WAF/IPS에서 외부 URL 파라미터(src, url 등)를 차단하고, 허용된 내부 경로만 통과하도록 규칙 설정.
4. 파일 무결성 모니터링 – SHA‑256 기반 해시 검증을 도입해 시스템 파일 변조 시 자동 복구·경보.
5. 네트워크 세분화 – NAS를 외부 인터넷에 직접 노출하지 말고, 관리용 VLAN에서만 접근 가능하도록 구성.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.87908 · exploit=easy · in_scope=None