[공격] 분석 — CVE-2026-50058

• 심각도 high · CVSS 7.8 · EPSS 0.00113 · 악용난이도 hard

• 공격 표면

  • 파일 파싱 모듈이 호출되는 모든 엔드포인트: Solid Edge UI → “파일 열기” 메뉴, Drag‑&‑Drop, 자동 업데이트 시 다운로드된 DFT 파일.
  • 주요 파라미터: DFT 파일 내부의 헤더/섹션 길이 필드가 메모리 버퍼 경계를 초과하도록 조작됨.

• 단계별 흐름

  1. 정찰 – 대상 조직이 Solid Edge SE2025/SE2026을 사용 중인지 확인(소프트웨어 인벤토리, 내부 문서, 파일 확장자 .dft 관찰).
  2. 초기 접근 – 피싱 메일 또는 협업 플랫폼에 악성 DFT 파일을 첨부하고 “열어 보세요”라는 UI 유도 메시지를 삽입( CVSS UI:R 조건 충족).
  3. 실행·권한 획득 – 사용자가 파일을 열면 파서가 길이 필드에 조작된 값을 읽어 버퍼를 초과, 메모리 오버플로우가 발생하고 임의 코드가 현재 프로세스 컨텍스트에서 실행됨( PR:N 조건).
  4. 지속 – 확보한 권한으로 악성 DLL을 AppData\Roaming\SolidEdge에 배치하거나, Windows 레지스트리 Run 키를 수정해 다음 실행 시 자동 로드하도록 설정 가능.
  5. 영향 – 프로세스 전체 권한(사용자 수준) 확보 → 파일 시스템·네트워크 접근, 민감 데이터 탈취, 추가 악성 페이로드 전파가 가능함.

• 공격 원리 – 특수 DFT 헤더가 파서 내부 배열 경계를 검증하지 않아 out‑of‑bounds read 후 복제된 포인터를 이용해 힙/스택에 임의 주소를 쓰게 함. 메모리 보호(DEP) 우회를 위해 ROP 체인을 구성하거나, ASLR이 비활성화된 환경에서 직접 쉘코드 실행이 가능함.

• 관련 CVSS 요소와 실제 조건 매핑

  • AV:L → 공격자는 로컬 파일을 제공해야 함(파일 전달은 이메일·공유 폴더 등).
  • AC:L → 복잡도 낮음, 단순히 올바른 DFT 구조만 필요.
  • PR:N → 별도 권한 요구 없음, 일반 사용자 계정으로도 성공.
  • UI:R → 사용자가 파일을 열어야 함.

악용 가능성: 이 취약점은 AV:L (로컬) + AC:L (낮은 난이도) + PR:N (권한 요구 없음) + UI:R (사용자 파일 열기) 조합으로, 실제 공격자는 대상 시스템에 직접 접근해 악성 DFT 파일을 Solid Edge에 로드하기만 하면 됩니다. 따라서 초기 진입 장벽은 낮지만, “파일을 열어야 한다”는 사용자 상호작용이 필수이므로 완전 자동화된 원격 익스플로잇은 현실적으로 어려워 hard 등급으로 평가됩니다. EPSS가 0.00113 이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 실제 공격 사례가 거의 없으며, 위협이 아직 대규모로 확산되지 않았음을 의미합니다. 하지만 취약 코드는 DFT 파싱 루틴에서 경계 초과 읽기를 일으키므로, 악성 파일만으로도 프로세스 권한 내에서 임의 코드 실행이 가능하다는 점은 여전히 위험합니다. 공격 표면은 Solid Edge가 등록된 파일 연관자나 드래그‑앤‑드롭 인터페이스를 통해 외부에서 제공받는 DFT 파일이며, 해당 엔드포인트가 열려 있는 한 공격자는 트리거 조건(특수 제작 DFT)만 준비하면 됩니다. 요약하면, 로컬 접근과 사용자 행동이 필요해 난이도는 “hard”이지만, 파일 파싱 로직 자체의 결함으로 인해 실제 악용 가능성은 EPSS와 KEV가 낮게 나타나는 현재 상황에 비추어 볼 때

• 악성 코드가 Solid Edge 프로세스 내에서 실행되어 현재 로그인된 사용자와 동일한 권한을 획득합니다.
• 결과적으로 문서·설계 데이터 탈취, 내부 네트워크 접근, 추가 악성 페이로드 전파 등 전체 시스템 침해가 가능해집니다.

• CWE‑125 (Out‑of‑bounds Read) – 본 결함 자체가 메모리 읽기 오류이며, 이를 기반으로 CWE‑787 (Out‑of‑bounds Write) 로 이어지는 RCE 체인이 일반적입니다.
• 추정: 동일 제품군에서 과거에 보고된 파일 파싱 취약점(CVE‑2024‑xxxx 등)과 결합하면 파일 인코딩 우회 → 권한 상승 시나리오가 가능하나, 현재 본 리포트에서는 해당 CVE 번호를 확인할 수 없습니다.
• 체이닝 패턴 – Out‑of‑bounds Read → 메모리 오염 → ROP/Gadget 사용 → 코드 실행 → 악성 DLL 로드(권한 상승) 형태가 일반적입니다.

• 프로세스 이벤트: Solid Edge.exe에서 EXCEPTION_ACCESS_VIOLATION 또는 0xC0000005 오류 로그 발생 시 경보.
• 파일 무결성: 비정상적인 DFT 파일 헤더(섹션 길이 필드가 비정상적으로 큰 값) 탐지 서명 적용.
• 행위 기반: 실행 후 cmd.exe, PowerShell, 네트워크 연결 시도 등이 짧은 시간 내에 연속 발생하면 의심.

• 즉시 조치: 공급업체에서 제공하는 최신 패치를 적용( SE2025 ≥ V225.0 Update 15, SE2026 ≥ V226.0 Update 7 ).
• 파일 정책: 신뢰할 수 없는 출처의 DFT 파일 열기를 금지하고, 이메일·공유 폴더에서 자동 실행을 차단합니다.
• 시스템 방어: DEP와 ASLR 활성화, 애플리케이션 화이트리스트(Windows Defender Application Control) 적용.
• 모니터링: 위 탐지 항목을 SIEM에 연동하고, 비정상적인 프로세스 종료/예외 발생 시 즉시 조사하도록 설정합니다.

본 리포트는 다중 소스 교차검증이 일관되게 확인된 결과이며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS 0.00113이라는 실측 악용 예측 수치가 낮음에도 불구하고 AV:L/AC:L/PR:N/UI:R 조합으로 공격 난이도가 낮아 우선순위가 높게 지정되었습니다([우선순위 결정] scheduled 이번 주 내). 따라서 위 완화·탐지 권고를 신속히 적용하는 것이 바람직합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00113 · exploit=hard · in_scope=None