[분석가] 분석 — CVE-2026-9779

• 심각도 high · CVSS 7.2 · EPSS 0.00397 · 악용난이도 hard

• 인증이 필요하지만, 공격자는 정상적인 계정으로 로그인 후 doCryptoHugeFileToFile API를 호출함
• updateWar 메서드 내부에서 서명 검증 로직이 잘못 구현돼 악의적 파일을 서명된 것처럼 위장 가능
• 위조된 파일이 시스템 권한(SYSTEM)으로 실행되어 임의 코드를 삽입·실행

악용 가능성: 이 취약점은 네트워크를 통해 원격 접근(AV:N)이 가능하지만, 공격을 수행하려면 인증된 계정이 필요합니다(PR:H). 따라서 인증 절차가 존재하므로 실제로는 고권한 사용자의 자격 증명이 없으면 악용이 불가능해 공격 난이도는 “hard” 수준으로 평가됩니다. CVSS의 복잡성 지표가 낮게(AC:L) 설정된 것은 서명 검증 로직 자체가 단순히 조작될 수 있음을 의미하지만, 이는 인증 전제조건을 만족해야만 활용할 수 있다는 점에서 실질적인 장벽이 됩니다. EPSS 값 0.00397은 현재까지 악용 가능성이 매우 낮다는 통계적 근거이며, KEV 데이터베이스에 등재되지 않은 점 역시 야생 공격 관측 사례가 없음을 뒷받침합니다. 트리거 조건은 updateWar 메서드에 전달되는 파일 및 서명 파라미터이며, 해당 엔드포인트는 원격 업데이트 기능을 제공하는 서비스 포트(예: HTTP/HTTPS)에서 노출됩니다. 따라서 네트워크 접근이 가능하고 인증 정보를 보유한 공격자만이 이 경로를 통해 시스템 권한(SYSTEM)으로 코드를 실행할 수 있습니다.

• 기술적 위험: 성공 시 공격자는 SYSTEM 권한으로 코드를 실행하므로 전체 서버 장악, 추가 악성 프로그램 설치, 서비스 중단 및 내부 네트워크로의 횡적 이동이 가능
• 비즈니스 리스크: 가용성 저하·서비스 중단, 규제·컴플라이언스 위반(예: 데이터 무결성 손상), 고객 신뢰도 하락
• 영향 제품 및 노출 규모: ATEN Unizon 2.7.264 이전 버전 전부가 대상이며, 해당 버전을 운영 중인 조직은 모두 영향을 받음 ([교차검증] 다중 소스에서 일관성이 확인됨)

• 서명 검증 오류를 이용한 RCE 패턴은 다른 암호화‑관련 제품에서도 발견된 바 있음(예: 비슷한 CWE‑코드가 명시되지 않았으나 “Improper Verification of Cryptographic Signature” 유형)
• 해당 취약점만으로도 SYSTEM 권한을 획득하므로, 이후 단계에서 파일 무결성 검증 우회·권한 상승 툴 체이닝이 가능

• 로그: updateWar 호출 시 발생하는 “Signature verification failed” 혹은 “Invalid signature” 경고 로그
• 프로세스: SYSTEM 계정으로 실행되는 새로운 cmd.exe, powershell.exe, wmic.exe 프로세스 생성 이벤트 감시
• 파일: 비정상적인 대용량 파일이 /var/aten/unizon/updates/ 디렉터리에 쓰여지는 패턴(예: 파일명에 .upd 확장자와 동시에 SHA‑256 해시 불일치)

• 즉시 조치
  • 해당 서버를 네트워크에서 격리하고, 관리 인터페이스 접근을 차단
  • 인증된 관리자 계정만으로 updateWar API 호출을 허용하도록 방화벽 규칙 적용
• 근본 해결
  • ATEN이 제공하는 최신 패치(2.7.264 이상) 적용
  • 서명 검증 로직을 보강하고, 파일 무결성 검사 도구로 사후 검증 수행
• 추가 방어
  • 최소 권한 원칙에 따라 서비스 계정을 제한하고, SYSTEM 수준 실행을 피하도록 구성
  • 위협 탐지 솔루션에 앞서 언급된 로그·프로세스·파일 이벤트 규칙 추가

본 보고서는 다중 소스 교차검증 결과와 EPSS 0.00397(실측 악용 예측) 및 규칙 기반 우선순위 결정(이번 주 내 일정) 를 근거로 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.2 · non-KEV · EPSS=0.00397 · exploit=hard · in_scope=None