[공격] 분석 — CVE-2026-9775

• 심각도 medium · CVSS 6.5 · EPSS 0.03248 · 악용난이도 hard

• 트리거 조건: uploadSSL 메서드 호출 시, 사용자 입력 경로에 대한 적절한 검증(Validation) 부재를 이용해 상위 디렉토리로 이동하는 ../ (Dot-dot-slash) 패턴을 주입하여 시스템 내 임의 파일을 삭제함.
• 공격 단계:
  1. 정찰: 대상 시스템이 ATEN Unizon 2.7.264 미만 버전인지 확인 및 관리자 계정 탈취 시도.
  2. 초기 접근: 유효한 고권한(High Privilege) 인증 세션 확보 (전제조건: PR:H).
  3. 실행/영향: uploadSSL 엔드포인트에 Path Traversal 페이로드가 포함된 요청을 전송하여 타겟 파일 삭제 실행.
• 공격 표면:
  • 엔드포인트: uploadSSL 관련 API/메서드 (추정: SSL 인증서 업로드 및 관리 경로).
  • 파라미터: 파일 경로 또는 이름을 지정하는 입력 필드.
• CVSS 벡터 분석: AV:N(원격 공격 가능), AC:L(공격 복잡도 낮음), PR:H(고권한 인증 필수), UI:N(사용자 상호작용 불필요). 즉, 외부에서 접근 가능하나 반드시 관리자 권한이 있어야 실행 가능한 구조임.

악용 가능성: 본 취약점은 AV:N/AC:L 조건으로 네트워크를 통해 원격 공격이 가능하고 트리거 난이도가 낮으나, PR:H라는 높은 권한 요구사항 때문에 실제 공격 난이도는 Hard로 판정됩니다. 공격자는 uploadSSL 엔드포인트의 파일 경로 파라미터를 조작하여 Directory Traversal을 유발함으로써 시스템 내 임의 파일을 삭제할 수 있는 공격 표면을 가집니다. EPSS 수치가 0.03248로 낮고 KEV에 등재되지 않은 점은 현재 외부에서 자동화된 대규모 익스플로잇이 활발히 유포되고 있지는 않음을 시사합니다. 그러나 관리자 권한을 이미 탈취했거나 내부자의 악의적 의도가 있을 경우, 별도의 사용자 상호작용(UI:N) 없이 즉각적으로 시스템 핵심 파일을 삭제해 서비스 거부(DoS) 상태를 만들 수 있는 실질적인 위협입니다. 결과적으로 이 취약점은 단독 공격보다는 권한 상승이나 계정 탈취 이후 시스템 파괴 및 흔적 제거를 위한 포스트 익스플로잇 단계에서 악용될 가능성이 높습니다.

• 기술적 위험:
  • 임의 파일 삭제: 시스템 설정 파일, 인증 키, 로그 파일 등을 삭제하여 시스템 무결성 파괴.
  • 서비스 거부(DoS): 부팅 필수 파일이나 핵심 바이너리 삭제 시 장비 먹통 상태 유발.
• 비즈니스 영향:
  • 가용성 상실: 하드웨어 제어 솔루션의 기능 정지로 인한 인프라 관리 공백 발생.
  • 복구 비용: 파일 시스템 파괴 시 단순 재부팅이 아닌 펌웨어 재설치 또는 공장 초기화 필요.

• 체이닝 경로:
  • 추정: 인증 우회/계정 탈취(Broken Authentication) $\rightarrow$ CVE-2026-9775 (Path Traversal) $\rightarrow$ 시스템 가용성 파괴(DoS). 본 취약점은 단독으로는 권한 제약이 크나, 인증 관련 결함과 체이닝될 경우 치명적임.
  • 추정: 정보 노출(Information Disclosure)을 통해 삭제 대상 파일의 정확한 절대 경로를 먼저 확보한 후, 본 취약점을 이용해 정밀 타격하는 패턴 가능.

• 로그 지표: HTTP 요청 로그 중 uploadSSL 호출 경로 및 파라미터 값에 ../, ..%2f, ..%5c 등 상위 디렉토리 참조 패턴 포함 여부 확인.
• 탐지 규칙:
  • Rule 1 (SIEM): request_uri CONTAINS "uploadSSL" AND request_body MATCHES "/\.\.\/+"
  • Rule 2 (WAF/IDS): HTTP POST /.*uploadSSL.* (.*)(\.\.\/){2,}.* (상위 디렉토리 이동 시도가 반복되는 패턴 탐지)
• 오탐 시나리오 및 튜닝: 정상적인 인증서 파일명에 점(.)이 포함될 수 있으므로, 단순히 .을 찾는 것이 아니라 /../ 또는 %2f..%2f와 같은 경로 이동 시퀀스가 명확히 나타나는지 검증하여 정밀도 향상.

• 즉시 (긴급 차단):
  • 관리자 페이지 접근 제어(ACL)를 통해 신뢰할 수 있는 특정 IP에서만 uploadSSL 기능에 접근하도록 제한. (난이도: 낮음 / 영향: 운영 마찰 발생 가능 / 검증: 비인가 IP 접근 시 403 확인)
• 단기 (완화):
  • WAF(Web Application Firewall)에서 Path Traversal 패턴(../)을 차단하는 시그니처 적용. (난이도: 낮음 / 영향: 성능 영향 미비 / 검증: 페이로드 전송 시 406/403 응답 확인)
• 근본 (해결):
  • ATEN Unizon 버전을 2.7.264 이상으로 업데이트하여 입력값 검증 로직 적용. (난이도: 보통 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: 버전 정보 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.03248, 백분위 0.87017)을 참조하였습니다. EPSS 수치는 이론적 심각도(CVSS 6.5)와 별개로 실제 야생에서의 악용 가능성이 현재 매우 낮음을 뜻합니다. 또한 KEV 미등재, 고권한 필요(PR:H), 낮은 EPSS 값을 근거로 규칙 기반 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.03248 · exploit=hard · in_scope=None