[공격] 분석 — CVE-2026-5846

• 심각도 medium · CVSS 5.7 · EPSS 미확보 · 악용난이도 hard

• 정찰

  • 네트워크 스캔으로 Watchfire Controller(기본 포트 443)와 Remote‑Support 파일스토어 URL을 식별.
  • OTA/패치 다운로드 API가 인증 없이 노출돼 있는지 확인 (예: GET /firmware/latest.bin).

• 초기 접근·키 추출 (AV:N, AC:H, PR:H, UI:R)

  1. 공격자는 리모트 지원 서버에 접근하거나 내부 네트워크에서 패치 파일을 다운로드한다.
  2. 바이너리를 정적 분석(예: strings, binwalk, 역어셈블리)해 RSA 개인키와 X.509 인증서가 평문으로 포함된 섹션을 추출한다.
  3. 추출된 키는 PEM 형식이므로 바로 TLS 핸드쉐이크에 재사용 가능하다.

• TLS 임피ersonation & 권한 획득

  • 추출한 서버키·인증서를 이용해 동일한 인증서와 프라이빗키를 가진 가짜 HTTPS 서버를 구축하고, 내부 관리 워크스테이션이 해당 주소에 연결하도록 DNS/ARP 스푸핑 등으로 유도한다.
  • 클라이언트는 인증서 검증을 자체 서명된 루트만 신뢰하므로 경고가 발생하지 않으며, 공격자는 관리자 세션 쿠키·CSRF 토큰 등을 탈취하거나 명령 인터페이스를 직접 호출한다.

• 지속

  • 동일 키를 이용해 새 TLS 세션을 지속적으로 생성하고, 가짜 서버에 백도어 웹 UI를 배치해 장기적인 관리 권한을 확보한다.
  • 추출된 인증서를 클라이언트 인증용으로 재사용하면 내부 서비스(예: API gateway)와의 상호 TLS 인증도 우회 가능하다.

• 영향

  • 관리 콘솔 탈취 → 설정 변경, 정책 삭제·삽입, 추가 악성 펌웨어 배포 등 전반적인 장비 제어가 가능.

악용 가능성: CVSS 벡터 AV:N/AC:H/PR:H/UI:R는 네트워크를 통해 접근 가능하지만 공격 구현에 높은 복잡도와 관리자 권한이 필요하고, 최종 단계에서 사용자의 행동(예: 관리자가 인증된 연결을 수동으로 시작)이 요구됨을 의미하므로 등급이 hard로 판단됩니다. EPSS 값은 제공되지 않고 KEV에도 등재되지 않아 현재 관측된 악용 사례는 거의 없지만, 펌웨어에 평문으로 포함된 자체 서명

• 하드코딩된 RSA 키가 유출되면 Watchfire Controller의 웹 관리 인터페이스를 완전 모방(서버 스푸핑)하거나, 기존 TLS 세션을 재사용해 내부 서비스에 무단 접근할 수 있다.
• 결과적으로 관리자 권한 획득, 구성 파일 변조, 추가 악성 펌웨어 전파 등 심각한 보안 사고가 발생한다.

• 키 노출 → TLS 인증서 위조 : 하드코딩된 비밀키는 CWE‑322(암호 키 관리 부실)와 연관된다. 추출 후 CWE‑295(인증서 검증 오류)와 결합해 MITM이 가능하다.
• 펌웨어 무결성 부족 : 서명 검증이 없을 경우 CWE‑494(코드 서명 검증 부재)와 연계돼 공격자는 변조된 펌웨어를 업로드하고 키 교체를 지속할 수 있다.
• 내부 서비스 인증 우회 : 추출한 클라이언트 인증서를 이용해 CWE‑285(인증 및 권한 부여 실패) 상황을 만들 수 있다.

• 동일 SHA‑256 핑거프린트를 가진 서버 인증서가 Watchfire Controller 외 다른 IP에서 나타날 경우 알림 생성.
• 비정상적인 TLS 핸드쉐이크(클라이언트 Hello에 Server Name Indication이 컨트롤러 도메인과 불일치) 로그.
• OTA/펌웨어 다운로드 요청이 비인가 IP 혹은 비정상 시간대에 발생하는 경우 SIEM 룰 추가.

1. 긴급 차단 : 리모트 지원 서버의 펌웨어 다운로드 엔드포인트를 방화벽에서 차단하거나 인증을 요구한다.
2. 키 교체·펌웨어 서명 : 제조사에 요청해 하드코딩된 RSA 키가 제거되고, 모든 펌웨어 이미지에 디지털 서명을 적용하도록 패치를 배포한다.
3. TLS 구성 강화 : 자체 서명 루트 대신 **PFS(ECDHE)**를 사용하고, 서버 인증서는 장비 고유의 CA‑signed 인증서로 교체한다.
4. 모니터링 : 위 탐지 지표를 기반으로 IDS/IPS 룰을 배포하고, 로그 수집·분석 체계를 강화한다.
5. 키 저장소 접근 제어 : 펌웨어 내 키 파일에 대한 읽기 권한을 최소화하고, 운영체제 수준에서 chmod 600‑유사 정책을 적용한다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.7 · non-KEV · EPSS=미확보 · exploit=hard · in_scope=None