[공격] 분석 — CVE-2026-7570

• 심각도 high · CVSS 8.8 · EPSS 0.00689 · 악용난이도 hard

• 트리거 조건: NVBUDashboard가 처리하는 JSON-RPC 메시지 내 사용자 입력 문자열이 적절한 검증 없이 SQL 쿼리에 직접 삽입될 때 발생.
• 공격 단계:
  1. 정찰: 대상 서버의 NetVault Backup 서비스 포트 및 NVBUDashboard 엔드포인트 노출 여부 확인.
  2. 초기 접근: 인증이 필요하나, 리포트에 명시된 '인증 메커니즘 우회(Authentication Bypass)' 결함을 이용해 비인가 상태로 JSON-RPC 요청 전송.
  3. 실행 및 권한 획득: SQL Injection을 통해 DB 제어권을 획득하고, 추정: xp_cmdshell 또는 유사한 DB 기능을 활용하여 OS 명령어를 실행. 프로세스는 NETWORK SERVICE 권한으로 동작.
  4. 지속/영향: 시스템 쉘 획득 후 백업 데이터 탈취 또는 내부망 횡적 이동 수행.
• 공격 표면:
  • 엔드포인트: NVBUDashboard 관련 JSON-RPC 수신 경로 (추정: HTTP/HTTPS 기반 API).
  • 파라미터: JSON-RPC 메시지 바디 내 SQL 쿼리에 영향을 주는 입력 필드.
• CVSS 벡터 분석: AV:N(네트워크 접근 가능), AC:L(공격 복잡도 낮음), PR:L(낮은 권한 필요하나 우회 가능하므로 사실상 무력화), UI:N(사용자 개입 불필요).

악용 가능성: 본 취약점은 AV:N/AC:L 특성상 네트워크를 통해 원격으로 트리거 가능하며, 특히 NVBUDashboard의 JSON-RPC 메시지 처리 과정에서 발생하는 SQL Injection이 핵심 공격 표면입니다. 이론적으로는 PR:L(낮은 권한 필요) 조건이 붙어 있으나, 인증 메커니즘 자체를 우회할 수 있는 결함이 함께 존재하므로 실제 공격 난이도는 낮아지며 비인증 상태에서도 진입이 가능합니다. 공격자는 외부로 노출된 JSON-RPC 엔드포인트의 특정 파라미터에 조작된 문자열을 주입하여 SQL 쿼리를 변조하고, 이를 통해 최종적으로 NETWORK SERVICE 권한으로 임의 코드를 실행(RCE)하는 경로를 가집니다. EPSS 수치가 0.00689로 낮고 KEV에 등재되지 않은 점은 현재 대규모 자동화 공격이 관찰되지 않음을 의미하지만, 인증 우회와 RCE가 결합된 체인은 타겟팅 공격 시 매우 치명적인 위협이 됩니다. 결과적으로 정찰 단계에서 JSON-RPC 인터페이스를 식별한 후, 인증 우회 $\rightarrow$ SQL Injection $\rightarrow$ OS Command Execution으로 이어지는 직선적인 공격 체인을 형성하여 시스템 제어권을 획득할 가능성이 높습니다.

• 기술적 위험:
  • 시스템 장악: NETWORK SERVICE 권한으로 임의 코드 실행(RCE)이 가능하여 서버 전체 제어권 상실.
  • 데이터 유출/파괴: 백업 솔루션 특성상 기업 내 모든 중요 데이터의 복사본에 접근하여 탈취하거나 삭제 가능.
• 비즈니스 영향:
  • 재해 복구 불능: 백업 시스템이 오염될 경우 랜섬웨어 공격 시 복구가 불가능해지는 치명적 가용성 손실 발생.
  • 컴플라이언스 위반: 민감 데이터 대량 유출로 인한 법적 규제 및 신뢰도 하락.

• 공격 체인: Authentication Bypass $\rightarrow$ SQL Injection $\rightarrow$ Remote Code Execution (RCE).
• 추정 체이닝 경로:
  • 권한 상승: NETWORK SERVICE 권한에서 커널 취약점이나 설정 오류를 이용해 SYSTEM 권한으로 상승하는 패턴.
  • 횡적 이동: 백업 서버가 보유한 타 서버의 관리자 자격 증명(Credentials)을 탈취하여 내부망 전체로 확산하는 패턴.

• 로그 지표: 웹 서버/애플리케이션 로그 내 JSON-RPC 요청 바디에 SQL 키워드(SELECT, UNION, INSERT, UPDATE, DROP) 및 특수문자(', --, ;) 포함 여부.
• 탐지 규칙 예시:
  1. 패턴 매칭: request_body contains ("NVBUDashboard" AND ("UNION SELECT" OR "xp_cmdshell" OR "WAITFOR DELAY"))
  2. 정규식 기반: /(?i)(union\s+all\s+select|concat\(|group_concat\(|sleep\(\d+\))/ 패턴이 JSON-RPC 페이로드에서 발견될 때 경고.
  3. 이상 행위: NETWORK SERVICE 계정으로 비정상적인 하위 프로세스(예: cmd.exe, /bin/sh, powershell.exe)가 생성되는 이벤트 로그 탐지.
• 오탐 시나리오 및 튜닝: 정상적인 관리자 쿼리나 대량의 JSON 데이터 전송 시 오탐 가능성 있음. 특정 엔드포인트(NVBUDashboard)로 한정하여 탐지 범위를 좁히고, 인증 우회 패턴(비정상적 세션 토큰 등)과 결합하여 정밀도 향상.

• 즉시 (긴급 차단):
  • ACL 적용: 백업 관리 콘솔 접근 가능 IP를 신뢰할 수 있는 관리자 단말기로 엄격히 제한. (난이도: 저 / 영향: 낮음 / 검증: 외부 IP 접근 테스트)
• 단기 (완화):
  • WAF 규칙 적용: SQL Injection 및 JSON-RPC 비정상 패턴 차단 룰 활성화. (난이도: 중 / 영향: 매우 낮음 / 검증: 페이로드 시뮬레이션)
• 근본 (해결):
  • 업그레이드: Quest NetVault Backup 버전을 14.0.2 이상으로 업데이트. (난이도: 중 / 영향: 서비스 일시 중단 가능성 / 검증: 버전 확인 및 패치 노트 대조)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00689, 백분위 0.49004)을 기반으로 실제 악용 가능성은 현재 낮으나(hard), CVSS 8.8의 높은 심각도와 RCE라는 파급력을 고려하여 '이번 주 내 대응'하는 scheduled 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00689 · exploit=hard · in_scope=None