[공격] 분석 — CVE-2026-57263

• 심각도 medium · CVSS 6.8 · EPSS 0.00084 · 악용난이도 hard

• 전제조건 (AV:L): 공격자는 대상 시스템에 로컬 접근 권한을 가져야 하며, 이는 물리적 접속, 내부 계정 탈취, 혹은 공유 폴더·백업 파일 노출 등을 통해 달성될 수 있습니다. 동료가 지적한 바와 같이 *.project 파일이 디렉터리 탐색이나 백업 유출 경로를 통해 외부에 노출되는 경우가 가장 현실적인 공격 표면입니다.
• 정찰·파일 획득:
  • 탐색 대상 엔드포인트: 로컬 파일 시스템, 네트워크 공유(\\share\*.project), 클라우드 백업, 이메일 첨부 등.
  • 관측 지표: 비정상적인 대량 파일 열기/복사 로그, SMB / NFS 접근 시도 증가.
• 해시 추출: 프로젝트 파일 내부에 passwordHash 필드가 존재하며, 여기에는 unsalted SHA‑256 값이 저장됩니다. CVSS 벡터의 AC:L·PR:N·UI:N과 일치하여 별도의 인증이나 사용자 행동 없이 바로 해시를 획득할 수 있습니다.
• 오프라인 크래킹 (추정):
  • 소금이 없으므로 동일 비밀번호에 대해 동일 해시가 생성됩니다. 저엔트로피(예: 6‑8자리 알파벳·숫자) 비밀번호라면 사전(dictionary) 혹은 브루트포스 공격으로 수시간 내에 복원 가능합니다. 레인보우 테이블 자체는 저장 비용이 크지만, 제한된 문자 집합을 대상으로 한 사전 공격은 현실적입니다.
  • GPU 가속 해시크래킹 툴(hashcat -m 1400, john) 사용 시 초당 수십 만~수백 만 회 연산이 가능하므로 “hard” 난이도임에도 불구하고 충분히 수행될 수 있습니다.
• 권한 획득: 복원된 평문 비밀번호로 LOGO! Soft Comfort에 로그인하거나 프로젝트를 열어 편집할 수 있습니다. 이는 추가적인 권한 상승 없이 애플리케이션 내부 인증을 우회하는 단계이며, CVSS의 S:U·C:H·I:L 특성을 그대로 반영합니다.
• 지속·영향: 동일 *.project 파일이 재사용되면 공격자는 지속적으로 접근 가능하며, PLC 제어 로직 수정, 설계 데이터 유출, 악성 로직 삽입 등을 통해 물리적 생산 라인에 직접적인 피해를 입힐 수 있습니다.

악용 가능성: 이 취약점은 AV:L (로컬 접근)으로 평가되므로 공격자가 먼저 대상 시스템에 저장된 프로젝트 파일을 확보해야 합니다. AC:L (낮은 복잡도) 덕분에 파일을 입수한 뒤에는 무작위 사전·브루트포스 공격을 수행하는 것이 기술적으로 쉽지만, 파일 자체가 외부에 노출되지 않으면 공격 경로가 차단됩니다. PR:N 및 UI:N 으로 권한이나 사용자 동작이 필요 없으므로, 파일을 획득했을 경우 추가적인 전제조건은 없습니다. EPSS 값 0.00084 는 실제 환경에서 이 취약점이 악용될 확률이 매우 낮음을 의미하고, KEV에 등재되지 않은 점도 현재까지 대규모 공격 사례가 없다는 것을 뒷받침합니다. 따라서 “hard” 등급은 파일 접근이라는 물리·논리적 장벽이 존재함을 반영한 것입니다. 공격 표면은 프로젝트 파일 자체와 그 안에 포함된 비가공 SHA‑256 해시이며, 파일 업로드/다운로드 혹은 백업 과정에서 외부로 유출될 경우만 실질적인 위협이 발생합니다.

• 프로젝트 파일에 대한 무제한 읽기·쓰기 권한 획득 → PLC 프로그램 변조·유출 가능.
• 비밀번호 복원으로 인증 우회 → 시스템 설정 변경, 운영 중단 위험.

• 정보 노출 → 인증 우회: 파일 접근 권한 부재(CWE‑276)와 결합될 경우, 공격자는 바로 해시를 추출해 인증을 회피합니다.
• 저엔트로피 비밀번호(추정): 사전·브루트포스가 실효성 있게 동작하므로, 강력하지 않은 비밀번호 정책이 추가적인 위험 요소가 됩니다.
• 백업 데이터 암호화 부재(CWE‑311)와 연계될 경우, 전체 시스템에 대한 장기적 침투 경로가 확대됩니다.

• 파일 접근 로그에서 .project 파일에 대한 비정상적인 대량 읽기/복사 이벤트 감시.
• 해시 크래킹 툴 실행 흔적(고CPU/GPU 사용, hashcat, john 프로세스) 모니터링.
• 애플리케이션 인증 로그에서 평문 비밀번호 시도 실패·성공 빈도의 급격한 변화 감지.

• 즉시 조치: *.project 파일에 대한 읽기 권한을 최소화하고, 네트워크 공유 및 백업 경로를 차단합니다. 기존 프로젝트 비밀번호를 강력하게 재설정하고, 가능하면 파일 자체를 암호화하거나 보안 스토리지에 보관합니다.
• 근본 해결: 공급업체가 제공하는 패치를 적용해 비밀번호 저장 방식을 salted + key‑stretching(PBKDF2/argon2) 로 변경하도록 요구합니다. 또한 파일 전송·백업 시 TLS·AES‑256 암호화를 강제하고, 정기적인 권한 관리 및 보안 감사를 수행합니다.

※ 본 분석은 다중 소스 교차검증 결과([교차검증] 신뢰도 1.0)와 EPSS 0.00084(실측 악용예측)·우선순위 결정 논리([우선순위 결정] ‘monitor’)에 기반하여 작성되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.8 · non-KEV · EPSS=0.00084 · exploit=hard · in_scope=None