[공격] 분석 — CVE-2026-48272

• 심각도 high · CVSS 7.8 · EPSS 0.00136 · 악용난이도 hard

• 공격 표면

  • 대상: Adobe Creative Cloud Desktop 실행 파일 및 백그라운드 서비스 (Windows).
  • 노출 엔드포인트: 애플리케이션이 DLL을 검색할 때 참조하는 환경 변수(PATH, APPDATA, LOCALAPPDATA)와 기본 플러그인 디렉터리.
  • 파라미터/함수: 내부 로더가 LoadLibraryEx 를 사용해 검색 경로 순서대로 DLL을 열람함.

• 전제 조건 (CVSS: AV:L / AC:H / PR:L / UI:N)

  • 공격자는 동일한 로컬 머신에 존재하며, 파일 쓰기 권한이 있는 디렉터리(예: C:\Users\Public, %TEMP%, 현재 작업 디렉터리) 중 검색 경로 앞쪽에 위치한 곳을 확보해야 함.
  • 환경 변수 조작은 필요하지만, 해당 변수가 이미 시스템 수준에서 설정돼 있어 공격자가 별도 권한 상승 없이 이용 가능함(AC:H는 탐색·작성 조건이 까다롭다는 의미).

• 공격 단계

  1. 정찰 – setx PATH 혹은 레지스트리(HKCU\Environment)를 조회해 실제 검색 순서를 파악하고, 쓰기 가능한 선행 디렉터리를 식별. (Sysinternals Process Monitor 로 경로 탐색 흐름 확인 가능)
  2. 초기 접근 – 일반 사용자 권한으로 악성 DLL(malicious.dll)을 위에서 발견한 선행 디렉터리에 복사. 파일 드롭은 정상적인 프로그램(예: PowerShell, certutil, 배치 스크립트)으로 수행 가능.
  3. 실행·권한 획득 – Creative Cloud Desktop이 자동 시작 혹은 사용자가 앱을 열 때, 내부 로더가 선행 디렉터리의 DLL을 먼저 찾게 되어 악성 코드가 현재 사용자 컨텍스트에서 실행됨(Scope: C).
  4. 지속 – 동일 경로에 DLL을 남겨 두면 이후 모든 재시작 시 재사용되며, Task Scheduler 혹은 레지스트리 Run 키를 이용해 앱 자동 실행을 보장할 수 있음.
  5. 영향 – 임의 코드가 현재 사용자 권한으로 실행되어 Adobe 계정 토큰 탈취, 파일 변조, 네트워크 스니핑 등 전반적인 기밀·무결성·가용성 위협이 발생.

• 관측 지표

  • Sysmon Event ID 7 (ImageLoad) 에서 비신뢰 경로(예: C:\Users\Public\malicious.dll) 로드 기록.
  • Process Create 이벤트에 Creative Cloud Desktop.exe 가 시작될 때 환경 변수 PATH 값이 비정상적으로 길어지거나 사용자 디렉터리를 포함하는 경우.

악용 가능성: CVSS 벡터 AV:L/AC:H/PR:L/UI:N은 공격자가 로컬 시스템에 직접 접근해야 하며 복잡한 전제조건(예: 검색 경로 순서 조작)을 만족시켜야 함을 의미하므로 난이도가 높게 평가됩니다. EPSS 0.00136이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 실제 공격 사례가 거의 보고되지 않았음을 보여 주지만, 이는 취약점 자체의 위험성을 완전히 배제하지 못합니다. 해당 취약점은 Creative Cloud Desktop이 실행 시 읽어들이는 검색 경로(Search Path) 설정 파일이나 환경 변수에 의해 노출되며, 로컬 파일 시스템을 통해 ‘uncontrolled search path element’가 삽입될 수 있는 엔드포인트가 공격 표면입니다. 공격자는 사용자 권한(Low Privilege)만으로도 해당 디렉터리·파일에 쓰기 권한이 있는 위치(예: %APPDATA% 또는 홈 디렉터리)에 악성 코드를 배

• 악성 DLL이 현재 로그인된 사용자의 권한으로 실행되므로, 해당 사용자가 접근 가능한 모든 파일·폴더·네트워크 자원에 대한 기밀·무결성 위협이 발생합니다.
• Adobe Creative Cloud는 클라우드 인증 토큰을 로컬에 저장하므로, 탈취 시 다른 서비스(Photoshop, Lightroom 등)까지 연쇄 침해가 가능하며, 기업 환경에서는 내부 데이터 유출 위험이 크게 증가합니다.

• 유형: Uncontrolled Search Path Element (CWE‑426).
• 가능한 체인
  • CWE‑426 → 로컬 파일 쓰기 권한을 이용해 DLL 드롭 → LoadLibraryEx 를 통한 임의 코드 실행.
  • 이후 CWE‑269(Improper Privilege Management) 혹은 CWE‑284(Improper Access Control)와 결합하면, 이미 탈취된 토큰으로 클라우드 API를 악용해 원격 명령 수행이 가능함(추정:).
• 현재 확인된 다른 CVE와 직접적인 연계는 없으나, 동일 머신에 존재하는 LPE 취약점(예: CVE‑2023‑XXXX 등)과 결합하면 시스템 권한 상승으로 확대될 수 있음.

• Sysmon: ImageLoad 이벤트에서 신뢰할 수 없는 디렉터리(%PUBLIC%, %TEMP%) 로드 시 경고.
• AppLocker / Windows Defender Application Control: 비허용 경로에서 실행되는 DLL에 대한 차단 로그.
• 파일 무결성 모니터링: C:\Program Files\Adobe\Creative Cloud 외부 디렉터리(특히 사용자 쓰기 가능 영역)에서 새 DLL 생성 시 알림.

1. 즉시 적용 – Adobe 제공 패치를 배포하고, 버전 6.9.1.1 이상으로 업그레이드합니다.
2. 실행 제한 – AppLocker 혹은 WDAC 정책을 사용해 Creative Cloud Desktop이 신뢰된 디렉터리(Program Files\Adobe) 외에서 DLL을 로드하지 못하도록 차단합니다.
3. 환경 변수 정밀 관리 – 시스템 수준 PATH 에 사용자 쓰기 가능한 경로가 포함되지 않도록 검토하고, 필요 시 제거합니다.
4. 감시 강화 – Sysmon 설정에 ImageLoad 필터를 추가해 비신뢰 경로 로드 이벤트를 중앙 로그 서버로 전송합니다.
5. 권한 최소화 – 일반 사용자 계정에 불필요한 파일 쓰기 권한을 제한하고, 서비스 계정이 아닌 개인 계정으로 Creative Cloud 를 실행하도록 정책화합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00136 · exploit=hard · in_scope=None