[공격] 분석 — CVE-2026-50061

• 심각도 high · CVSS 7.8 · EPSS 0.00113 · 악용난이도 hard

• 트리거 조건

  • 사용자가 Solid Edge(버전 < V225.0 Update 15 또는 < V226.0 Update 7)에서 .dft 파일을 열 때, 특수하게 조작된 DFT 내부 구조가 해제된 객체를 재사용하도록 유도한다.
  • CVSS 벡터 AV:L/AC:L/PR:N/UI:R와 일치: 로컬 공격자(파일 제공자는 로컬 사용자), 복잡도 낮음, 권한 필요 없음, 사용자의 파일 열기 동작이 요구된다.

• 공격 단계

  1. 정찰 – DFT 파일 포맷(텍스트/XML 기반)과 Solid Edge 파싱 로직을 조사한다(리버스 엔지니어링 또는 공개 문서).
  2. 초기 접근 – 피싱 이메일, USB 드라이브 등으로 악성 .dft 파일을 대상 사용자에게 전달하고 “파일 열기”를 유도한다(UI:R).
  3. 코드 실행 – 파싱 중 use‑after‑free가 발생하면 공격자는 임의의 셸코드(예: cmd.exe 호출)를 힙에 삽입하고, 해제된 포인터가 해당 메모리를 가리키게 하여 프로세스 컨텍스트에서 바로 실행한다.
  4. 권한 획득 – 이미 사용자 권한으로 실행되므로 추가 상승이 필요 없으며, 동일 사용자의 파일·레지스트리·네트워크 접근이 모두 가능해진다(C:H/I:H/A:H).
  5. 영향 – 임의 코드가 시스템 명령을 수행하거나, 추가 악성 페이로드를 다운로드·설치함으로써 조직 전체에 광범위한 피해를 확산할 수 있다.

• 공격 표면

  • 엔드포인트: SolidEdge.exe (DFT 파싱 모듈)
  • 입력 파라미터: 파일 경로 (*.dft) 및 내부 XML/바이너리 섹션(특히 객체 해제 후 재사용을 유도하는 노드)

• 실제 악용 가능성 – 교차검증 결과 다중 소스에서 일관성이 확인됐으며, EPSS = 0.00113(첫 번째 실측값)으로 현재 관찰된 실제 공격은 매우 드물지만, hard 등급·로컬·사용자 상호작용 조건을 감안하면 방어 우선순위가 높다([우선순위 결정] “CVSS 7.8·non‑KEV·EPSS 0.00113·exploit hard”에 따라 이번 주 내 패치 스케줄링).

악용 가능성: 이 취약점은 AV:L(로컬)·AC:L(낮은 복잡도)·PR:N(특권 없음)·UI:R(사용자 상호작용)이라는 CVSS 벡터에 따라, 공격자가 피해자의 시스템에 직접 접근해 악성 DFT 파일을 열도록 유도해야만 이용이 가능합니다. 따라서 네트워크를 통한 원격 무차별 공격은 불가능하고, 피싱·내부자 협조 등으로 사용자를 설득해 파일을 실행시키는 단계가 선행되어야 하므로 난이도가 “hard”로 평가됩니다. EPSS 0.00113이라는 실측값은 현재까지 실제 악용 사례가 극히 드물다는 통계적 근거를 제공하며, KEV에 등재되지 않은 점도 이 취약점이 아직 광범위한 위협으로 전환되지 않았음을 뒷받침합니다. 공격 표면은 Solid Edge의 DFT 파일 파싱 로직이며, 노출되는 엔드포인트는 “파일 열기/불러오기” UI와 내부 파서 함수, 입력 파라미터는 파일 내 메타데이터 및 구조체 데이터 전체가 됩니다. 사용자가 악성 DFT 파일을 열면 use‑after‑free 조건이 발생해 공격 코드가 현재 프로세스 컨텍스트에서 실행될 수 있으나, 이 과정은 반드시 사용자의 직접적인 클릭 동작을 필요로 합니다. 따라서 실제 공격 성공 여부는 사용자 행동 제어와 로컬 파일 전달 경로 확보에 크게 좌우됩니다.

• 성공 시 공격자는 현재 사용자의 보안 컨텍스트에서 임의 코드를 실행한다.
• 기밀성: 사용자 파일·시스템 데이터 전부 열람 가능.
• 무결성: 파일·레지스트리·설정 변조 가능.
• 가용성: 프로세스 충돌·서비스 거부(DoS) 및 악성 스크립트에 의한 시스템 불안정 초래.

• CWE‑416 (Use After Free) – 메모리 해제 후 포인터가 재사용되는 전형적인 패턴이며, 다른 CAD/CAE 제품에서도 유사 사례가 보고된 바 있다.
• 가능한 체인
  • 정보 노출 → DFT 파일에 포함된 경로·메타데이터를 통해 내부 구조 파악(정찰).
  • 권한 상승 (추정) – 동일 프로세스 내에서 실행되는 코드는 다른 로컬 권한 상승 취약점(CVE‑XXXX‑YYYY 등)과 결합해 관리자 권한을 얻을 수 있다.
  • 추가 악성 페이로드 – 초기 RCE 후 다운로드·실행 단계에서 일반적인 파일 업로드/다운로드 취약점이나 스크립트 인젝션과 연계될 가능성이 있다.

• 프로세스 행동: Solid Edge 실행 시 비정상적 힙 할당·해제 패턴(예: 동일 주소에 반복적인 VirtualAlloc/Free)을 모니터링.
• 윈도우 이벤트: Application 로그에 “Application Error – Faulting module: SolidEdge.exe”와 같은 충돌 이벤트가 발생하면 경보.
• 파일 기반 시그니처: YARA‑style 규칙으로 비정상적인 DFT XML 노드(예: <![CDATA[ 뒤에 길이가 과도한 바이너리 데이터) 탐지 (전체 코드는 제공하지 않음, 예시만).

• 즉시: 공급업체에서 제공하는 최신 업데이트(V225.0 Update 15 이상 또는 V226.0 Update 7 이상)를 적용한다.
• 임시 방어: 신뢰할 수 없는 출처의 .dft 파일 열기를 금지하고, 이메일·USB 등으로 전달된 파일은 격리 환경에서 검증 후 배포한다.
• 보호 강화: Windows DEP와 ASLR을 활성화하고, 애플리케이션 화이트리스트(예: AppLocker)로 Solid Edge 실행 권한을 제한한다.
• 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 설정하고, 이상 징후 발생 시 즉시 프로세스 종료·포렌식 수집 절차를 수행한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None