[단독공격] 분석 — CVE-2026-20182

• 심각도 critical · CVSS 10.0 · EPSS 0.90272 · 악용난이도 easy · KEV

• 공격 표면
  • Control connection handshaking API (HTTPS 443 또는 전용 컨트롤 포트)
  • 인증 파라미터: peering‑auth‑token, session‑id 등 내부 전용 필드
• 정찰
  • 공개된 “Show Control Connections” 명령·API를 이용해 버전 및 활성 피어 정보를 수집한다. (버전 확인 → 취약 대상 판별)
• 초기 접근 / 인증 우회 (CVSS AV:N/AC:L/PR:N/UI:N)
  • 공격자는 위 API에 조작된 핸드쉐이크 요청을 전송한다.
  • 취약한 피어 인증 로직이 입력값 검증을 누락해, 정상 인증 절차를 건너뛰고 내부 고권한 비‑root 계정의 세션 토큰을 발급받는다.
• 권한 획득
  • 획득한 세션으로 NETCONF (SSH/HTTPS) 엔드포인트에 접근 → 구성 파일·라우팅 정책 직접 수정 가능.
• 지속·영향
  • 악의적인 NETCONF 명령으로 라우터·스위치 트래픽 재조정, ACL 삽입, 서비스 거부 등 전사적 네트워크 장애 초래.
• 전제조건
  • 대상 SD‑WAN Manager가 인터넷/외부망에 직접 노출돼 있거나, 피어 연결을 허용하는 방화벽 규칙이 존재해야 함.

다중 소스에서 일관성이 확인됐다([교차검증]).

악용 가능성: 이 취약점은 네트워크 전역에서 접근 가능한 제어‑연결 핸드쉐이크 인터페이스(AV:N)와 “복잡도 낮음”(AC:L) 조건을 만족하므로, 공격자는 별도의 사전 권한 없이 바로 시도를 할 수 있습니다. 공격에 필요한 전제는 인증 절차가 수행되는 peering authentication 핸드쉐이크 메시지를 조작하는 것뿐이며, 사용자의 클릭이나 추가적인 소프트웨어 설치(UI:N)도 요구되지 않습니다(PR:N). 실제 위협성을 뒷받침하는 근거로 EPSS 점수 0.90272가 매우 높게 나타나며, KEV(Known Exploited Vulnerabilities) 목록에 등재돼 있어 이미 악용 사례가 보고된 상태임을 알 수 있습니다. 공격 표면은 Cisco Catalyst SD‑WAN vSmart/vManage/vBond 각 컴포넌트가 리스닝하는 TCP 443(또는 8443) 포트의 control‑connection 엔드포인트와, 해당 엔드포인트에 전달되는 peer‑id·auth‑token 파라미터입니다. 취약점이 존재하면 인증 단계에서 전송된 토큰을 무시하고 바로 관리 권한을 부여받게 되므로, 원격 공격자는 네트워크 내 어느 위치에서든 단일 패킷(또는 짧은 요청)만으로 관리자 수준 세션을 획득할 수 있습니다. 따라서 난이도는 “easy”로 평가되며, 실제 악용 가능성 역시 매우 높다고 판단됩니다.

• 관리자 권한 획득: 내부 고권한 비‑root 계정으로 NETCONF 사용 가능 → 네트워크 토폴로지·보안 정책 전면 변경.
• 기밀성·무결성·가용성 파괴: 인증 우회로 인한 설정 변조는 데이터 유출, 트래픽 스니핑, 서비스 중단을 동시에 야기한다.

• CWE‑287 (Improper Authentication) – 피어 인증 로직 결함으로 직접 인증 우회가 가능.
• 가능한 체인:
  1. 정보 노출 (버전/엔드포인트 스캐닝) →
  2. 인증 우회 (본 CVE) →
  3. 구성 변경 (NETCONF RCE/권한 상승) →
  4. 서비스 거부·데이터 유출 (네트워크 레벨 영향).

현재 확인된 추가 CVE는 없으며, 일반적인 인증 우회 → 권한 상승 패턴을 활용한다(추정:).

• 로그 기반: 비정상적인 /controller/api/.../peering/auth POST 요청·응답에 포함된 세션 토큰 생성 기록.
• 네트워크 흐름: 외부 IP에서 갑작스러운 NETCONF(SSH 8300/HTTPS 443) 연결 시도.
• SIEM 지표: “Authentication bypass” 키워드와 함께 “NETCONF configuration change” 이벤트 동시 발생.

1. 즉시 패치 적용 – Cisco에서 제공한 보안 업데이트를 24시간 내에 배포한다.
2. 네트워크 분리: 관리/피어 연결 포트를 신뢰된 IP만 허용하도록 ACL·방화벽 규칙 강화.
3. 세션 모니터링: 신규 세션 생성 시 원본 IP와 인증 흐름을 실시간으로 검증하고, 비정상적인 토큰 발급을 차단한다.
4. 임시 방어: 해당 API를 외부에서 접근 불가하도록 웹 서버/프록시 레벨에서 차단하고, 필요 시 관리 인터페이스를 VPN 내부에만 노출한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.90272 · exploit=easy · in_scope=None