[방어] 분석 — CVE-2026-56164

• 심각도 medium · CVSS 5.3 · EPSS 0.22439 · 악용난이도 easy · KEV

• 경로: 네트워크를 통한 비인증 원격 요청 $\rightarrow$ 특정 SOAP 엔드포인트 접근 $\rightarrow$ 인증 우회 및 권한 상승.
• 단계:
  1. WSDL(Web Services Description Language) 열람을 통해 취약한 메서드(vulnerableMethod)와 파라미터 구조 분석.
  2. 인증 절차를 건너뛰는 특수하게 조작된 SOAP 요청 전송.
  3. 추정: XML 페이로드 내에 악성 객체나 가젯 체인을 삽입하여 역직렬화(Deserialization) 취약점을 유도, 최종적으로 원격 코드 실행(RCE) 및 권한 상승 시도.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 실제 악용 가능성은 극히 높습니다. CVSS 벡터가 AV:N/AC:L/PR:N/UI:N인 점으로 보아, 공격자는 인증되지 않은 상태에서 네트워크를 통해 특별한 사용자 상호작용 없이도 원격으로 공격을 수행할 수 있습니다. 특히 EPSS 수치가 0.22439로 높게 측정되고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험성을 넘어 이미 실제 공격 환경에서 활발히 악용되고 있음을 증명합니다. 공격 표면은 외부로 노출된 Microsoft Office SharePoint의 특정 엔드포인트이며, 인증 절차가 누락된 핵심 기능(Critical Function) 파라미터를 직접 호출하는 방식으로 트리거됩니다. 결과적으로 권한 없는 외부인이 네트워크 접근만으로 관리자 수준의 권한 상승(Privilege Escalation)을 달성할 수 있어 매우 치명적인 위협입니다.

• 권한 탈취: 인증되지 않은 공격자가 SharePoint 서버 내에서 높은 수준의 권한을 획득.
• 데이터 노출 및 변조: 권한 상승 후 서버 내 저장된 기밀 문서 접근, 설정 변경 및 데이터 무단 수정 가능.
• 횡적 이동: 획득한 권한을 이용해 내부망 내 다른 자산으로 공격 범위를 확장(Lateral Movement).

• 유형: Authentication Bypass $\rightarrow$ Privilege Escalation $\rightarrow$ RCE 체인.
• 패턴: SOAP 기반의 XML 역직렬화 취약점과 결합될 가능성이 매우 높으며, 이는 일반적인 로그인 로그에 기록되지 않는 특성을 가짐.

관리자 인증을 우회하는 요청은 표준 Login Log에 남지 않으므로, HTTP Request Body와 Application Error Log를 직접 분석해야 합니다. 다중 소스 교차검증 결과 신뢰도가 1.0으로 매우 높으며, 특히 EPSS 0.22439(백분위 0.97459)는 실제 악용 가능성이 극히 높음을 시사하므로 즉각적인 탐지 룰 적용이 필요합니다.

• 로그 위치 및 필드:

  • IIS Log: cs-uri-stem, cs-method (SOAP 엔드포인트 접근 확인)
  • SharePoint ULS Log / Windows Event Log: Application Error, Exception (역직렬화 실패 시 발생하는 런타임 에러)
  • WAF/IDS Payload: HTTP POST Body 내 XML 구조

• 탐지 규칙 예시:

  1. SOAP 엔드포인트 비정상 접근 탐지 (SIEM):
     SELECT * FROM web_logs WHERE uri LIKE '%/_vti_bin/%' AND method = 'POST' AND user_agent NOT IN ('Known_Internal_Clients')
  2. 악성 XML 페이로드 패턴 탐지 (WAF/IDS 정규식):
     추정: SOAP Body 내에 Java/C# 가젯 체인이나 비정상적인 객체 타입 선언이 포함된 경우
     (?i)(<soap:Envelope.*)(.*)(<.*(Object|Type).*><.*(Payload|Command).*)(.*)(<\/soap:Envelope>)
  3. 런타임 에러 기반 탐지 (Event Log):
     EventID=1000 AND Message CONTAINS ('System.Runtime.Serialization' OR 'XmlException' OR 'DeserializationError')

• 오탐 튜닝:

  • 내부 정기 스케줄러나 통합 솔루션이 사용하는 정상적인 SOAP 요청 IP/User-Agent를 화이트리스트에 추가하여 노이즈 제거.
  • WSDL 열람(?wsdl) 요청이 빈번한 내부 개발 환경의 경우, 특정 시간대 및 소스 IP 기반으로 임계값 설정.

본 취약점은 KEV(Known Exploited Vulnerabilities)에 등재되어 실제 악용 사례가 확인되었으므로, 규칙 기반 우선순위에 따라 'Immediate' 대응이 요구됩니다.

• 즉시 (긴급 차단): SOAP 엔드포인트 접근 제어(ACL) 적용

  • 내용: 외부망에서 SharePoint의 /_vti_bin/ 등 SOAP 서비스 경로로의 접근을 WAF 또는 방화벽에서 즉시 차단.
  • 난이도: 낮음 / 운영 영향: 높음(외부 연동 서비스 단절 가능성) / 검증: 외부 IP에서 해당 엔드포인트 접속 시 403 Forbidden 확인.
  • 우선순위: 최상

• 단기 (완화): XML Schema Validation(XSD) 강제 및 입력 검증

  • 내용: SOAP 엔진 앞단에서 정의된 스키마와 일치하지 않는 비정상 XML 구조의 요청을 드롭하도록 설정.
  • 난이도: 중간 / 운영 영향: 중간(정상 요청 중 일부 오탐 가능성) / 검증: 조작된 XML 페이로드 전송 시 차단 여부 확인.
  • 우선순위: 상

• 근본 (해결): 보안 업데이트 적용

  • 내용: 영향받는 버전(Enterprise Server 2016, Server 2019, Subscription Edition)에 대해 최신 보안 패치 설치.
  • 난이도: 중간 / 운영 영향: 낮음(재부팅 필요) / 검증: 업데이트 후 빌드 버전 확인 (16.0.5561.1001 이상 등).
  • 우선순위: 필수 (패치 이후에도 잔여 리스크를 줄이기 위해 위 완화 조치 병행 권고)

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=5.3 · KEV · EPSS=0.22439 · exploit=easy · in_scope=None