[방어] 분석 — CVE-2026-18411

• 심각도 high · CVSS 8.1 · EPSS 미확보 · 악용난이도 moderate

공격자는 Bluetooth 통신 거리(Adjacent) 내에서 KARR/SWDS 시스템에 하드코딩된 공유 인증 키(Shared Authentication Key)를 사용하여 정상적인 인증 절차를 우회합니다. 이후 차량 제어 모듈로 무단 명령을 주입(Command Injection)하여 도어 잠금 해제 및 엔진 이모빌라이저 조작을 수행합니다. 특히 단순한 키 교체만으로는 부족하며, 펌웨어 서명 검증이 없을 경우 공격자가 임의의 펌웨어를 재플래싱하여 지속적인 권한을 유지할 수 있는 구조적 결함을 가지고 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 특정 조건 충족 시 악용 가능성이 높습니다. CVSS 벡터상 AV:A(Adjacent), AC:L(Low), PR:N(None), UI:N(None)인 점은 공격자가 특별한 권한이나 사용자 상호작용 없이 Bluetooth 통신 범위 내에만 진입하면 즉시 공격이 가능함을 의미합니다. 특히 모든 영향 받는 기기가 동일한 공유 인증 키(Shared Authentication Key)를 사용한다는 설계 결함으로 인해, 단 하나의 키만 확보되면 동일 제품을 사용하는 모든 차량에 범용적으로 적용될 수 있는 치명적인 약점을 가집니다. 공격 표면은 차량의 Bluetooth 인터페이스 및 관련 인증 프로토콜 엔드포인트로 한정되나, 물리적 근접성만으로 트리거가 가능해 실제 위협 수준이 높습니다. KEV 미등재 및 EPSS unavailable 상태임에도 불구하고, 하드코딩된 공유 키라는 특성상 이론적 심각도를 넘어 실질적인 무단 진입 및 차량 제어 권한 탈취로 이어질 위험이 큽니다.

• 물리적 보안 침해: 무단 도어 잠금 해제(Door Unlocking)를 통한 차량 진입 및 도난 위험.
• 운행 제어권 상실: 엔진 이모빌라이저(Engine Immobilization) 조작을 통한 강제 시동 또는 주행 방해.

• 유형: 하드코딩된 자격 증명(Hardcoded Credentials), 불충분한 인증 메커니즘.
• 체이닝 가능성: 추정: Bluetooth를 통한 초기 진입 후, 차량 내부 CAN bus로 접근하여 타 ECU(Electronic Control Unit) 제어권을 획득하는 시나리오가 가능합니다.

본 취약점은 하드웨어 레벨의 공유 키를 사용하므로 일반적인 인증 성공 로그보다는 Bluetooth HCI(Host Controller Interface) 수준의 비정상 패킷 패턴 탐지가 핵심입니다. 다중 소스 데이터 일관성이 확인된(신뢰도 1.0) 리포트를 근거로 하며, 특히 동료 분석가들이 지적한 '비정상 명령 패턴'에 집중합니다.

1. 탐지 지표 및 로그 위치

• 로그 소스: Bluetooth HCI Trace/Debug Log, 차량 게이트웨이(Gateway) 이벤트 로그.
• 핵심 필드: Source_MAC, Packet_Payload (AT 명령어), Command_ID, Auth_Status.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1: 비정상 제어 및 업데이트 명령 주입 탐지
  SELECT * FROM BT_HCI_Log WHERE Payload MATCHES '(?i)(AT\+UPDATE|Write-Memory|UNLOCK|START)' AND Source_MAC NOT IN WhiteList
  (설명: 인증 우회 후 펌웨어 재플래싱 시도나 핵심 제어 명령을 수행하는 특수 패킷 패턴 탐지)
• Rule 2: 공유 키 기반 Spray 공격 탐지
  SELECT count(DISTINCT Target_Vehicle_ID) FROM BT_Auth_Log WHERE Auth_Status == 'SUCCESS' GROUP BY Source_MAC HAVING count(*) > 1 WITHIN 1h
  (설명: 하나의 공격 기기가 동일한 공유 키를 이용해 단시간 내 여러 차량에 접근하는 패턴 탐지)
• Rule 3: 초근접 거리 무단 인증 성공 탐지
  IF (Auth_Status == 'SUCCESS') AND (RSSI > -40dBm) AND (Source_MAC NOT IN WhiteList)
  (설명: 등록되지 않은 기기가 매우 가까운 거리에서 즉각적으로 인증에 성공하는 이상 징후 감시)

3. 오탐 튜닝 및 한계

• 오탐 시나리오: 정식 등록 사용자의 단말기 교체 또는 통신 불안정으로 인한 재인증 반복 발생.
• 튜닝 방법: Source_MAC 기반 화이트리스트를 엄격히 적용하고, 차량 소유자의 실제 기기 식별자와 대조하여 필터링합니다.

CVSS 8.1(High)이며 EPSS 실측값은 미확보되었으나, 하드코딩된 키라는 구조적 결함으로 인해 악용 등급이 moderate로 평가되었습니다. 이에 따라 규칙 기반 우선순위 결정에 의해 이번 주 내 대응(scheduled)을 목표로 합니다.

1. 즉시 (긴급 차단)

• 조치: 차량의 Bluetooth 기능 비활성화 또는 모듈 전원 물리적 차단.
• 난이도: 낮음 / 운영 영향: 높음(편의 기능 사용 불가) / 검증: 외부 스캔 시 BT 엔드포인트 미탐지 확인.

2. 단기 (완화)

• 조치: 추정: Bluetooth RSSI 임계값을 타이트하게 조정하여 원거리 공격을 물리적으로 제한하고, 상술한 HCI 탐지 룰을 SIEM에 적용하여 실시간 모니터링 강화.
• 난이도: 중간 / 운영 영향: 중간(사용자 인식 거리 단축) / 검증: 일정 거리 이상에서 명령 수행 불가 테스트 및 탐지 룰 트리거 확인.

3. 근본 (해결)

• 조치: 제조사 공식 패치 적용. 단순 키 교체가 아닌 '기기별 고유 키(Unique Key)' 도입과 함께, 펌웨어 이미지에 대한 강제 서명 검증(Signature Verification) 및 무결성 체크 메커니즘을 반드시 포함하여 재플래싱 공격을 차단해야 합니다.
• 난이도: 높음 / 운영 영향: 낮음(정상 기능 유지) / 검증: 패치 버전 확인 및 기존 공유 키를 이용한 접속 시도 차단 여부 검증.

잔여 리스크: 펌웨어 패치 후에도 물리적 칩 덤프 등을 통해 고유 키가 추출될 수 있는 하드웨어 설계 결함이 있다면, 물리적 접근을 통한 공격 위험은 완전히 제거되지 않습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=미확보 · exploit=moderate · in_scope=None