[단독분석] 분석 — CVE-2026-64887

• 심각도 미상 · CVSS 미상 · EPSS 0.00113 · 악용난이도 hard

하드코딩된 암호키가 제품에 내장되어 있어, 공격자는 동일 키를 이용해 암호문을 수집·분석함으로써 복호화 또는 인증 우회가 가능하다. 이 과정은 별도 원격 코드 실행 없이도 네트워크 트래픽이나 저장된 로그만으로 수행될 수 있다.

악용 가능성: 이 취약점은 네트워크를 통해 접근 가능한 관리 인터페이스(예: HTTPS 포트 443)에서 하드코딩된 암호키가 사용되므로 Attack Vector = Network이며, 공격자는 해당 엔드포인트에 직접 연결해야 합니다. 그러나 키가 고정되어 있어 암호 해독에는 Attack Complexity = High가 요구되고, 별도의 권한이나 사용자 조작 없이도 시도할 수 있으나 성공하려면 대규모 연산 자원과 전문적인 암호 분석 지식이 필요하므로 실질적 난이도가 높습니다. EPSS = 0.00113이라는 매우 낮은 확률은 현재까지 실제 악용 사례가 거의 없으며, KEV에 등재되지 않은 점과 일치해 이 취약점이 아직 야생에서 활발히 이용되고 있지 않음을 뒷받침합니다. 공격 표면은 Airwall 4.1 이전 버전의 관리 API·웹 UI와 해당 키가 적용되는 암호화된 통신 채널이며, 내부 네트워크에 배치된 장비만 노출됩니다. 따라서 이론적 심각도는 존재하지만, 고난이도·저관측성으로 인해 실제 위협은 제한적인 편이라고 평가할 수 있습니다.

• 기술적 위험: 하드코딩 키를 통한 암호문 해독이 성공하면, 기밀 데이터(설정 파일, 통신 내용) 노출 및 인증 메커니즘 우회가 발생할 수 있다. 이는 시스템 장악이나 서비스 중단을 직접 초래하지는 않지만, 추가 공격 단계(예: 권한 상승, 내부 이동)를 위한 기반을 제공한다.
• 비즈니스 영향: 데이터 기밀성 손실은 규제·컴플라이언스 위반 위험을 높이며, 고객 신뢰도 저하와 계약상 벌금 등 재정적 손실로 이어질 수 있다. 제품이 건물 자동화·보안 시스템에 사용되는 경우, 서비스 가용성 자체는 직접적인 영향을 받지 않지만, 보안 사고 발생 시 운영 중단 위험이 증가한다.
• 노출 규모: 영향 대상은 Airwall 4.1 이전 버전을 사용하는 모든 현장(빌딩 자동화·보안 설비)이며, 정확한 배포 수량은 공개되지 않았다.

하드코딩 키 사용은 “키 관리 부실”(CWE‑322) 패턴과 연계될 수 있으며, 동일 제품군에서 발견된 다른 암호 설정 오류와 조합될 경우 복합적인 공격 경로를 형성한다. 현재 확인된 직접 연결 CVE 번호는 없다.

• 파일 무결성: Airwall 실행 파일·펌웨어에 고정 문자열(예: 16바이트 이상) 형태의 키가 포함되어 있는지 해시 기반 스캔.
• 네트워크 트래픽: 동일 암호키 식별자를 반복적으로 사용하는 TLS/DTLS 세션 또는 자체 암호 프로토콜 패킷을 로그 분석 툴에서 필터링.
• 로그 이벤트: 인증 시도에 사용된 키 해시가 변하지 않는 경우 경고 생성(예: “static‑key usage detected”).

1. 즉시 조치

   • 현재 배포된 Airwall 4.1 이전 버전에서 모든 하드코딩 키를 교체하고, 강력한 랜덤 키로 재구성한다.
   • 키 교체 후 시스템 정상 동작 여부를 검증하고, 관련 로그에 새로운 키 식별자를 기록하도록 설정한다.

2. 근본 해결

   • Johnson Controls에서 제공하는 Airwall 4.1 이상 버전으로 업그레이드한다(패치 포함).
   • 제품 운영 정책에 “키 관리 절차”를 도입하고, 정기적인 키 교체 주기를 수립한다.

3. 우선순위

   • 다중 소스에서 일관성이 확인된 바와 EPSS 0.00113(실제 악용 가능성 낮음) 및 KEV 비등재·exploit 난이도 hard를 고려해, 현재는 모니터링을 기본 대응으로 설정한다([우선순위 결정] 논리).
   • 그러나 키 교체와 패치 적용은 장기적인 보안 강화 차원에서 반드시 수행해야 한다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None