[단독방어] 분석 — CVE-2026-9774

• 심각도 medium · CVSS 6.5 · EPSS 0.01195 · 악용난이도 hard

인증된 사용자가 updateLicense 메서드에 파일 경로 파라미터를 전달할 때, 입력값 검증이 부족하여 "../" 와 같은 경로 탐색 문자열을 포함하면 서버가 해당 경로의 파일을 삭제하도록 유도한다. 원격 공격자는 인증을 획득한 뒤 조작된 경로를 전송해 시스템 중요한 파일(예: 로그, 설정, 서비스 바이너리 등)을 제거하거나 DOS 상태를 만들 수 있다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 접근 가능(AV:N)하지만, 공격을 수행하려면 인증된 고권한 계정이 필요하므로(PR:H) 실제로는 내부 사용자 또는 탈취된 관리자 자격 증명이 전제됩니다. 복잡도는 낮게 평가되었으나(AC:L), 경로 파라미터만 조작하면 파일 삭제가 바로 이루어지기 때문에 인증만 확보하면 기술적 난이도는 크게 높지 않습니다. EPSS 0.01195라는 수치는 현재까지 실제 공격 사례가 매우 드물다는 것을 의미하지만, 존재 자체가 잠재적인 위협임을 보여줍니다. KEV 목록에 포함되지 않은 것은 아직 대규모 악용이 보고되지 않았음을 뜻하지만, 취약점 자체가 원격 파일 삭제를 가능하게 하므로 방어 차원에서 무시할 수 없습니다. 공격자는 ATEN Unizon의 updateLicense API 엔드포인트에 전달되는 파일 경로 파라미터를 조작해 디렉터리 트래버설을 수행하고, 대상 시스템의 임의 파일을 삭제합니다. 따라서 노출된 HTTP(S) 인터페이스와 해당 파라미터가 바로 공격 표면이며, 인증 절차를 우회하거나 관리자 계정을 확보했을 때 즉시 악용될 수 있습니다.

• 임의 파일 삭제 → 운영 서비스 중단, 데이터 손실
• 중요 시스템 파일이 삭제될 경우 부팅 불가·서비스 재시작 실패
• 공격자는 파일 삭제 후 백업 복구 없이 지속적인 가용성 저하를 야기할 수 있음

• 동일한 경로 탐색(Directory Traversal) 패턴을 이용하는 CVE‑2021‑XXXXX 등과 연계해 파일 읽기/쓰기 권한 상승 가능
• 삭제된 파일 복구가 어려운 환경에서는 로그 위변조와 결합해 포렌식 회피가 가능

로그 지표

1. 웹 애플리케이션 로그 – POST /api/updateLicense 요청, 파라미터 path 필드에 "../" 혹은 %2e%2e%2f 등 인코딩된 경로 탐색 문자열이 포함될 경우.
2. 파일 시스템 감사 로그(Auditd, Windows Event ID 4663) – unlink, DeleteFile 이벤트가 발생하면서 대상 파일 경로가 애플리케이션 루트 디렉터리 외부인 경우.

SIEM 탐지 규칙 예시 (Splunk‑style pseudo query)

• Rule 1: source="webapp" sourcetype="access_log" uri_path="/api/updateLicense" | regex path "(\\.\./|%2e%2e%2f)" → 경고 레벨 High
• Rule 2: index=host_audit event_type=unlink OR event_type=DeleteFile | where like(file_path, "%/aten/unizon/%") AND NOT user="admin" → 경고 레벨 Medium

정규식 예시 (경로 탐색 탐지)

 1(\.\./|\%2e\%2e\/|\.\\\.)

오탐 튜닝

• 정상적인 관리자가 파일을 삭제할 때도 동일한 파라미터가 사용될 수 있다. → user_role="admin" 및 operation="deleteLicense" 조건을 추가해 오탐률 감소.
• URL 인코딩 변형(..%2F)을 모두 포괄하도록 정규식을 확장하고, 허용된 디렉터리(예: /var/lib/aten/license/)만 매칭되도록 화이트리스트 필터 적용.

즉시(긴급 차단) – WAF 또는 프록시 레벨에서 updateLicense 엔드포인트에 "../" 혹은 URL‑인코딩된 경로 탐색 문자열이 포함된 요청을 403 Forbidden 으로 차단한다.

• 구현 난이도: ★★ (프록시 규칙 추가만으로 적용 가능)
• 운영 영향: 인증된 관리자는 정상적인 라이선스 업데이트가 불가능해질 수 있으니, 차단 전 테스트 환경에서 검증 필요
• 검증 방법: 정상 파라미터와 탐색 문자열을 각각 전송하여 200 OK vs 403 응답 확인

단기(완화) – 애플리케이션 레이어에서 updateLicense 메서드에 입력값 화이트리스트 적용: 허용 디렉터리(license/) 이외의 경로는 거부하고, 경로 정규화를 수행한 뒤 실제 파일 존재 여부를 검증한다. 또한 파일 삭제 권한을 최소화된 전용 서비스 계정으로 제한한다.

• 구현 난이도: ★★★ (코드 수정 및 재배포 필요)
• 운영 영향: 기존 관리 UI에 약간의 지연이 발생할 수 있음
• 검증 방법: 자동 테스트 스크립트로 정상·비정상 경로 각각 호출 후 기대 결과(삭제 성공/거부) 확인

근본(해결) – ATEN에서 제공하는 2.7.264 이상 버전(패치 릴리즈)으로 업그레이드한다. 패키지 검증 후 서비스 재시작을 수행하고, 배포 전 스테이징 환경에서 회귀 테스트를 진행한다.

• 구현 난이도: ★★★★ (버전 호환성 확인 및 다운타임 계획 필요)
• 운영 영향: 서비스 재시작에 따른 일시적 가용성 저하
• 검증 방법: 업그레이드 후 동일 updateLicense 호출 시 경로 탐색 입력이 오류(400 Bad Request)로 처리되는지 확인

잔여 리스크 – 패치 적용 전까지 위 즉시·단기 조치를 모두 적용해도, 다른 내부 파일 조작 로직에서 동일한 검증 부재가 존재한다면 여전히 파일 삭제 위험이 남는다. 따라서 정기적인 코드 리뷰와 보안 테스트를 통해 유사 경로 탐색 취약점 전체를 식별해야 한다.

인시던트 대응 플레이북

1. SIEM 알림 수신 → 해당 이벤트의 user_id, source_ip, path 확인
2. 인증 로그와 세션 정보를 교차 검증해 실제 공격자 여부 판단
3. 대상 호스트 격리(네트워크 차단) 및 파일 시스템 스냅샷 확보
4. 삭제된 파일 경로를 파악하고 최신 백업에서 복구, 복구 후 무결성 검사 수행
5. 악용 시도에 사용된 요청을 차단 규칙에 추가하고, 재발 방지 조치 적용 여부 확인

우선순위 근거 – 다중 소스 교차검증 결과(신뢰도 1.0)와 EPSS = 0.01195(실제 악용 가능성 낮음)·벡터 AV:N/AC:L/PR:H를 고려해 monitor 로 분류했지만, 경로 탐색을 통한 파일 삭제는 서비스 가용성을 직접 위협하므로 즉시 차단 조치를 권고한다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.01195 · exploit=hard · in_scope=None