[방어] 분석 — CVE-2026-48282

• 심각도 critical · CVSS 10.0 · EPSS 0.99197 · 악용난이도 easy · KEV

공격자는 HTTP 요청의 파일 경로 파라미터에 ../·..\\ 등 디렉터리 탐색 시퀀스를 삽입해 ColdFusion이 제한된 루트 디렉터리를 벗어나 서버 파일을 읽거나 임의 코드를 로드하도록 유도합니다. Scope가 변경(S:C)되므로, 초기 사용자 권한에 관계없이 시스템 수준의 코드 실행으로 이어집니다. 사용자 개입 없이 네트워크를 통해 직접 호출이 가능하므로 AV:N/PR:N/UI:N 벡터가 적용됩니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 평가되므로, 네트워크를 통해 원격에서 별도의 인증이나 권한 없이 간단히 접근할 수 있습니다. 공격자는 복잡한 전제조건 없이 HTTP 요청에 경로 탐색 문자열(../)을 삽입하면 제한 디렉터리를 우회해 임의 파일을 읽거나 실행할 수 있기 때문에 난이도가 매우 낮습니다. EPSS 값이 0.99197 로 거의 100%에 가까워 실제 공격이 발생할 확률이 극히 높으며, KEV(악용된 취약점) 목록에도 등재되어 있어 이미 실전에서 악용되고 있음을 확인할 수 있습니다. 트리거 조건은 ColdFusion 서버가 파일 경로를 파라미터로 받아 처리하는 모든 엔드포인트(예: cfscript, 파일 업로드·다운로드 API, 관리자 콘솔)이며, 해당 파라미터가 URL 쿼리스트링이나 POST 바디에 포함될 경우 바로 이용됩니다. 따라서 공격 표면은 HTTP /HTTPS 프로토콜을 사용하는 모든 공개된 ColdFusion 서비스와, 특히 경로 입력을 검증하지 않는 파일 처리 모듈이 노출되는 부분입니다. 이러한 특성으로 인해 공격자는 별도의 사회공학이나 피싱 없이도 자동화 스크립트만으로 대규모 침투가 가능하므로 위험도가 매우 높습니다.

• 임의 파일 읽기 → 설정·키파일 노출, 인증 정보 탈취
• 서버 측 스크립트(예: .cfm, .cfc)를 조작해 원격 코드 실행(RCE)
• 성공 시 공격자는 현재 사용자 컨텍스트를 넘어 시스템 권한을 획득할 수 있어 기밀·무결성·가용성 전반이 위협받습니다.

Path‑Traversal( CWE‑22 ) 기반 취약점은 파일 업로드 우회(CVE‑2024‑xxxx)나 로컬 파일 포함(LFI, CVE‑2023‑yyyy)과 연계될 수 있습니다. 또한, 성공적인 RCE 후에는 기존에 존재하는 권한 상승 취약점(예: CVE‑2022‑zzzz)을 활용해 영구적 루트 접근을 확보할 가능성이 높습니다.

로그 지표

• access.log : 요청 URI(request_uri)에 /../ 혹은 %2e%2e%2f(URL‑encoded) 패턴이 포함된 경우
• coldfusion-out.log 또는 application.log : “File not found”, “Invalid path” 와 같은 오류 메시지와 함께 path= 필드가 비정상적인 경로를 가리키는 경우

SIEM 탐지 규칙 예시 (Splunk 검색문)

index=web sourcetype=access_combined request_uri="../" OR request_uri="%2e%2e%2f"
| stats count by src_ip, request_uri, status
| where count > 5

 1   *오탐 튜닝*: 정적 파일(이미지·CSS) 경로에 `..` 가 포함된 정상적인 CDN 요청을 제외하려면 `uri_path NOT IN ("/assets/*","/static/*")` 조건 추가.  
 2 
 32. ``` 
 4index=coldfusion sourcetype=cfml_error "Invalid path" OR "File not found"
 5| regex path="(\.\./|\%2e\%2e\/)"
 6| stats count by host, user, path
 7| where count > 3

오탐 튜닝: 정상적인 디버그 로그에서 ../ 가 포함된 스택 트레이스는 log_level=debug 를 제외.

1. 정규식 패턴 (공통)
   • (?i)(\.\./|\%2e\%2e\/|\\\.\.\\) : 대소문자 구분 없이 디렉터리 탐색 시퀀스 탐지

오탐 시나리오 및 튜닝

• 내부 개발자가 테스트용으로 ../ 를 사용해 파일 포함을 검증하는 경우 → 해당 IP/호스트를 화이트리스트에 등록.
• CDN 또는 리버스 프록시가 URL 재작성 시 %2e%2e%2f 를 자동 디코딩하여 정상 경로가 되는 경우 → response_status=200 과 결합해 필터링.

즉시(긴급 차단)

• 웹 서버 레벨에서 요청 URI에 ../·\..\·%2e%2e%2f 가 포함될 경우 403 응답을 반환하도록 ModSecurity 혹은 Apache/NGINX deny 규칙을 적용합니다.
  • 예시 (Nginx): if ($request_uri ~* "\.\./|%2e%2e%2f") { return 403; }
    구현 난이도: 낮음 → 설정 파일 수정 후 재로드만 필요.
    운영 영향: 정상적인 경로에 의도치 않은 차단이 발생할 가능성은 낮으며, 서비스 가용성에 거의 영향을 주지 않음.
    검증 방법: 차단 테스트용 curl 요청(GET /../../etc/passwd) 로 403 반환 확인.

단기(완화)

1. ColdFusion 설정 강화
   • this.allowedFileExtensions 와 this.scriptProtect 를 사용해 파일 접근을 제한하고, CFIDE 디렉터리 외부의 스크립트 실행을 비활성화합니다.
2. Web Application Firewall (WAF) 규칙 적용
   • OWASP CRS Rule ID 941100 “Path Traversal” 을 활성화하고, 탐지 민감도를 “High” 로 설정합니다.
3. 입출력 로그 강화
   • coldfusion-out.log 에 logDirectoryTraversal=true 옵션을 켜서 모든 경로 조작 시도를 기록하도록 합니다.

구현 난이도: 중간 – ColdFusion 관리 콘솔 접근 및 재시작 필요.
운영 영향: 일부 파일 업로드·다운로드 기능에 제한이 걸릴 수 있으니 테스트 후 적용 권장.
검증 방법: 정상적인 파일 다운로드 시도가 차단되지 않는지 확인하고, 위조된 경로 요청 시 로그에 기록되는지 검증.

근본(해결)

• Adobe에서 제공하는 ColdFusion 2025.10 이상 또는 2023.21 이상의 최신 패치를 즉시 적용합니다.
• 패치 적용 전후 cfversion 명령으로 버전 확인 및 cfschedule 로 기존 스케줄러가 정상 동작하는지 검증합니다.

구현 난이도: 높음 – 서비스 중단을 최소화하기 위한 롤링 배포 계획 필요.
운영 영향: 재시작 시 일시적 가용성 저하 발생 가능.
검증 방법: 패치 적용 후 동일한 탐지 규칙에 대해 false positive 비율이 감소하고, 정상 요청은 200 응답을 유지하는지 확인.

잔여 리스크
패치를 적용해도 기존 로그에 남아 있는 경로 조작 시도가 지속될 수 있으므로, 로그 보관·분석 정책을 강화하고, 탐지 규칙을 주기적으로 리뷰해야 합니다. 또한, 공급망(라이브러리) 차원의 동일 취약점이 다른 애플리케이션에 존재할 가능성이 높으니 전사적 코드 베이스와 서드‑파티 모듈을 재검토하십시오.

인시던트 대응 플레이북 (핵심 순서)

1. 의심되는 경로 탐색 요청 감지 → 해당 IP 차단 및 알림 발송.
2. coldfusion-out.log 에 기록된 오류와 파일 접근 시도 상세 분석.
3. 침해 증거(생성된 임시 파일·프로세스) 여부 확인 후, 필요 시 호스트 격리.
4. 위 긴급 차단 규칙 적용 및 WAF 로그 검증.
5. 패치 적용 일정 수립·실행 → 사후 검증 단계로 이동.

위 내용은 다중 소스 교차검증(일관성 확인)과 EPSS 0.99197(실제 악용 가능성이 거의 100%에 가깝다는 의미) 및 KEV 등재·규칙 기반 우선순위 결정(즉시 대응 필요)을 근거로 작성되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99197 · exploit=easy · in_scope=None