[공격] 분석 — CVE-2026-50522

• 심각도 critical · CVSS 9.8 · EPSS 0.57101 · 악용난이도 easy · KEV

(1) 트리거 조건: 신뢰할 수 없는 데이터의 역직렬화(Deserialization of untrusted data) 결함. 공격자가 조작된 직렬화 객체(Serialized Object)를 HTTP 요청에 실어 보내면, 서버가 이를 처리하는 과정에서 임의 코드가 실행됨.

(2) 공격 단계:

• 정찰: SharePoint 버전 확인 및 외부 노출 엔드포인트 스캐닝.
• 초기접근: 인증되지 않은 상태(PR:N)로 네트워크를 통해 취약한 엔드포인트에 접근.
• 실행·권한 획득: 조작된 페이로드 전송 $\rightarrow$ 서버 내 역직렬화 프로세스 트리거 $\rightarrow$ RCE 수행. 추정: SharePoint 서비스 계정 권한(LocalSystem 또는 Service Account)으로 코드 실행.
• 지속 및 영향: 웹쉘(WebShell) 업로드 또는 C2 연결을 통한 지속성 확보 후 내부망 횡적 이동.

(3) 공격 표면:

• 노출 엔드포인트: 추정: /_layouts/15/ 하위의 특정 .aspx 페이지나 API 핸들러. (참고 분석의 ToolPane.aspx 등 역직렬화 파이프라인을 타는 경로가 유력함)
• 파라미터: HTTP POST 바디 또는 ViewState, 쿠키 등 직렬화된 데이터가 전달되는 모든 필드.

(4) CVSS 벡터 연결:

• AV:N / AC:L / PR:N / UI:N $\rightarrow$ 인증 없이 네트워크를 통해 매우 낮은 복잡도로 공격 가능. 이는 외부 노출 서버의 경우 즉각적인 시스템 장악으로 이어짐을 의미함.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 가리키듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 데이터를 전송하는 것만으로 즉시 트리거되는 최악의 공격 조건을 갖추고 있습니다. 특히 EPSS 0.57101이라는 높은 실측값과 KEV 등재 사실은 이론적 위험을 넘어 이미 야생(In-the-wild)에서 무기화된 익스플로잇이 광범위하게 유통되고 있음을 증명합니다. 공격 표면은 SharePoint의 외부 노출 엔드포인트 중 신뢰하지 않는 데이터를 역직렬화(Deserialization)하는 특정 API 및 파라미터에 집중되어 있으며, 이는 별도의 사용자 상호작용 없이도 원격 코드 실행(RCE)으로 직결됩니다. 따라서 공격 난이도는 매우 낮으며, 대상 서버가 외부망에 노출되어 있다면 정찰 단계 직후 즉각적인 초기 침투가 가능해 악용 가능성이 극도로 높습니다.

[공격 기법 및 취약점 체이닝]

• 공격 표면 매핑: SharePoint의 HTTP 요청 처리 프로세스 중, 객체 상태를 복원하기 위해 사용되는 특정 엔드포인트와 직렬화된 데이터를 수신하는 파라미터가 핵심 타깃입니다. 공격자는 BinaryFormatter나 Json.Net과 같이 취약한 역직렬화 라이브러리가 사용하는 함수에 조작된 가젯 체인(Gadget Chain)을 주입합니다.
• 공격 체인 분석:
  1. 정찰: 외부 스캔을 통해 대상의 SharePoint 버전 및 특정 경로의 응답 값을 확인하여 취약 여부를 식별합니다.
  2. 초기 접근: 인증 단계(Authentication)를 우회하여 역직렬화 로직이 작동하는 엔드포인트에 조작된 페이로드를 전송합니다.
  3. 실행 및 권한 획득: 역직렬화 과정에서 가젯 체인이 실행되며 cmd.exe나 powershell.exe를 호출, 서비스 계정(예: spfarm) 권한으로 임의 명령을 수행합니다.
  4. 지속 및 영향: 획득한 권한을 바탕으로 웹쉘(WebShell)을 업로드하여 지속성을 확보하거나, Active Directory와의 연동 설정을 악용해 도메인 관리자 권한으로 수직 상승(Privilege Escalation)을 시도합니다.
• 취약점 체이닝 경로: 단일 RCE로 종료되지 않고, 내부망 스캔을 위한 프록시 거점으로 활용하거나 SharePoint 내 저장된 민감 문서 및 사용자 데이터베이스에 접근하는 데이터 유출 단계로 확장됩니다.
• 방어 우회 지점: WAF의 단순 패턴 매칭을 피하기 위해 페이로드를 인코딩(Base64, Hex)하거나, 직렬화 포맷의 변종을 사용하여 시그니처 기반 탐지를 무력화하는 원리가 적용됩니다.

[탐지 및 완화]

• 탐지: SharePoint

(1) 기술적 위험:

• 완전한 시스템 장악: RCE를 통한 OS 명령어 실행 및 관리자 권한 획득.
• 데이터 유출: SharePoint 내 저장된 모든 기업 문서, 사용자 리스트, 설정 파일 탈취.
• 내부망 거점화: 서버가 DMZ에 위치할 경우, 이를 교두보 삼아 AD(Active Directory) 등 내부 인프라로 횡적 이동(Lateral Movement).

(2) 비즈니스 영향:

• 기밀성 파괴: 기업 핵심 자산인 문서 데이터의 대규모 유출.
• 가용성 상실: 랜섬웨어 감염 시 서비스 전체 중단 및 복구 비용 발생.
• 컴플라이언스 위반: 개인정보 및 기업 기밀 유출로 인한 법적 책임 및 신뢰도 하락.

• 체이닝 경로 (추정):
  1. Information Disclosure $\rightarrow$ 서버 내부 구조/버전 파악 $\rightarrow$ 본 CVE(RCE) 타겟팅.
  2. CVE-2026-50522(RCE) $\rightarrow$ Privilege Escalation (추정: 서비스 계정 $\rightarrow$ SYSTEM 권한 상승).
  3. CVE-2026-50522(RCE) $\rightarrow$ 내부망 스캐닝 $\rightarrow$ 다른 서버의 취약점 공격으로 확산.
• 유형 수준 분석: Deserialization 결함은 대개 가젯 체인(Gadget Chain)을 활용하며, 시스템 내 설치된 라이브러리 구성에 따라 실행 가능한 페이로드 종류가 결정됨.

(1) 로그 지표:

• IIS 로그: POST 요청 중 비정상적으로 큰 바디 사이즈, 특정 .aspx 경로로의 반복적 접근.
• 이벤트 로그: w3wp.exe 프로세스가 cmd.exe, powershell.exe, net.exe 등 비정상 자식 프로세스를 생성하는 패턴.

(2) 탐지 규칙 예시:

• SIEM 로직: process_name == "w3wp.exe" AND child_process_name IN ("cmd.exe", "powershell.exe", "whoami.exe")
• HTTP 페이로드 패턴 (추정): 역직렬화 가젯 특유의 매직 바이트나 클래스 이름(예: System.Runtime.Serialization, BinaryFormatter)이 포함된 POST 데이터 탐지.

(3) 오탐 시나리오 및 튜닝:

• 정상적인 SharePoint 관리 작업이나 업데이트 중 발생하는 프로세스 생성과 구분 필요. 특정 관리자 IP 대역을 화이트리스트 처리하여 노이즈 제거.

즉시 (긴급 차단):

• 외부망 $\rightarrow$ SharePoint 서버 접근 ACL 제한 (VPN 또는 특정 IP만 허용). [난이도: 하 / 영향: 높음(접근성 저하) / 검증: nmap 스캔]

단기 (완화):

• WAF(웹 방화벽)에 역직렬화 관련 시그니처 및 비정상적 POST 요청 차단 룰 적용. [난이도: 중 / 영향: 낮음 / 검증: PoC 페이로드 전송 테스트]

근본 (해결):

• Microsoft 제공 보안 업데이트 적용.
  • Server 2016 $\rightarrow$ 16.0.5561.1001 이상
  • Server 2019 $\rightarrow$ 16.0.10417.20175 이상
  • Subscription Edition $\rightarrow$ 16.0.19725.20434 이상
    [난이도: 중 / 영향: 중간(재부팅 필요) / 검증: 버전 정보 확인]

분석 근거: 본 리포트는 다중 소스 간 일관성이 확인된 데이터를 기반으로 작성되었습니다. 특히 EPSS 0.57101 및 KEV 등재 사실은 이론적 심각도를 넘어 실제 공격자가 적극적으로 이용하고 있음을 입증하므로, 규칙 기반 우선순위에 따라 'immediate(24시간 내)' 대응이 필수적입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.57101 · exploit=easy · in_scope=None