[방어] 분석 — CVE-2026-13305

• 심각도 medium · CVSS 6.4 · EPSS 0.00121 · 악용난이도 hard

공격자는 물리적으로 장치에 접근한 뒤, 검증되지 않은 소프트웨어 업데이트 이미지를 USB 또는 로컬 관리 포트로 전송합니다. 서명 검증이 누락돼 있기 때문에, 이미지 내부의 악성 바이너리가 디바이스 펌웨어와 동일 권한으로 실행됩니다. UI 요구가 없고 인증도 필요하지 않으므로, 공격 흐름은 전달 → 업데이트 파싱 → 임의 코드 실행 순서로 진행됩니다.

악용 가능성: 이 취약점은 AV:P (Physical)로 표시되므로, 공격자는 충전기에 물리적으로 접근해야만 악성 업데이트 이미지를 주입할 수 있습니다. AC:H (High complexity)라는 점은 이미지 서명을 위조하거나 검증 로직을 우회하는 데 정교한 절차와 전문 지식이 필요함을 의미합니다. PR:N (Privilege‑None)과 UI:N (User Interaction‑None) 덕분에 공격자는 별도의 인증이나 사용자의 동작 없이도 코드를 실행할 수 있으나, 이는 물리적 접근 전제가 없으면 실현되지 않습니다. EPSS 값이 0.00121 로 매우 낮고 KEV 리스트에 등재되지 않은 점은 현재까지 실제 악용 사례가 거의 보고되지 않았으며, 위협 모델 상에서 이론적인 심각도와는 별개로 실전 위험도가 제한적임을 뒷받침합니다. 공격 표면은 충전기의 software‑update 엔드포인트(예: USB·시리얼 포트)와 해당 이미지 파일 파라미터이며, 해당 경로를 통해 서명 검증이 누락된 업데이트가 전송될 경우 임의 코드 실행이 가능해집니다. 따라서 물리적 보호 조치가 확보되지 않은 현장에서는 고난이도 (High‑complexity) 공격 시나리오가 현실화될 여지가 존재합니다.

• 장치 제어권 탈취 – 충전 세션 중지·시작, 전압/전류 조정 등 물리적 위험 발생 가능
• 내부 네트워크 침투 – 악성 코드를 통해 동일 LAN에 연결된 다른 시스템으로 이동 가능
• 데이터 무결성 파괴 – 펌웨어 변조·로그 위변조로 사후 분석이 어려워짐

추정: 이와 유사한 “소프트웨어 업데이트 서명 검증 부재” 유형은 CWE‑306(인증 우회) 및 CWE‑345(암호화된 데이터의 무결성 검증 실패)와 연관됩니다. 공격자는 동일 디바이스에 존재하는 원격 관리 인터페이스(CWE‑284 권한 상승)나 인접 네트워크 공유 파일 시스템을 이용해 체이닝할 수 있습니다.

1. 로그 지표

   • update_manager.log : event=firmware_update, status=started|completed, signature_check=failed 필드 기록 여부
   • systemd-journal : MESSAGE=*Update image received* 와 함께 SRC_IP 혹은 USB_DEVICE_ID 포함 로그

2. SIEM 쿼리 예시 (예: Splunk)

   text복사

    1index=ev_charger sourcetype=update_manager
    2| where event="firmware_update" AND signature_check!="passed"
    3| stats count by host, src_ip, _time
    4| where count > 0

   조건 – signature_check가 “passed”가 아닌 경우를 탐지하고, 동일 호스트·시간대에 다수 발생 시 알림.

3. 정규식 (파일 무결성 감시)

   text복사

    1^\[(WARN|ERROR)\]\s+Update\s+image\s+verification\s+failed:\s+hash=.*$

4. 오탐 튜닝

   • 정상적인 펌웨어 롤백 테스트 시 signature_check=failed 로그가 발생할 수 있음. 이 경우 operation_mode=test 필드가 함께 기록되는지 확인하고, 해당 태그를 제외하도록 쿼리 조건에 operation_mode!="test" 를 추가합니다.

5. 검증

   • 탐지 규칙 적용 후 24시간 동안 실제 업데이트 시도 로그와 비교하여 TP/FP 비율을 측정하고, 임계값(count > 0)을 필요시 조정합니다.

오늘 당장 적용할 임시 차단: 네트워크 ACL에서 모든 외부 IP가 장치의 소프트웨어 업데이트 포트(예: TCP 443)로 접근하는 것을 차단하고, 허용된 내부 관리 서버 IP만 예외 처리합니다. 이는 즉시 공격 경로를 차단하면서 기존 서비스에 큰 영향을 주지 않는 가장 빠른 조치입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.4 · non-KEV · EPSS=0.00121 · exploit=hard · in_scope=None