[방어] 분석 — CVE-2026-9774

• 심각도 medium · CVSS 6.5 · EPSS 0.01195 · 악용난이도 hard

인증된 권한(PR:H)을 가진 사용자가 updateLicense 메서드의 입력값 검증 미비점을 악용하여 Path Traversal 공격을 수행합니다. 요청 파라미터에 상위 디렉토리 이동 문자열(../, ..\)을 삽입해 파일 시스템의 임의 경로를 지정하면, 서버가 이를 필터링 없이 처리하여 해당 파일을 삭제합니다.

분석가 의견: 이전 분석에서는 updateLicense 엔드포인트 단일 지점에 집중했으나, 동료 토론 및 로직 분석 결과 동일한 파일 처리/역직렬화 모듈을 공유하는 다른 API(setConfig, applyPolicy 등)를 통해 공격 표면이 확장될 가능성이 매우 높습니다. 따라서 특정 URL 차단보다 공통 입력값 검증 수준의 대응이 필수적입니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정됩니다. AV:N/AC:L 조건으로 인해 네트워크를 통한 원격 접근과 낮은 공격 복잡도를 가지나, 결정적으로 PR:H 조건에 따라 높은 권한(High Privilege)을 가진 인증된 계정이 필수적이기 때문입니다. 공격 표면은 ATEN Unizon의 updateLicense 메서드가 노출된 엔드포인트이며, 여기서 경로 검증이 누락된 파라미터를 통해 Directory Traversal 공격이 트리거됩니다. 이를 통해 임의의 파일을 삭제하여 시스템 가용성을 해치는 DoS 상태를 유발할 수 있습니다. EPSS 수치가 0.01195로 낮고 KEV에 등재되지 않은 점은 현재 실제 야생(In-the-wild)에서의 대규모 악용 사례가 드물다는 것을 의미합니다. 하지만 권한을 가진 내부자나 계정이 탈취된 공격자가 시스템 핵심 파일을 삭제할 수 있다는 점에서 이론적 심각도와 별개로 실질적인 위협이 됩니다. 결과적으로 높은 권한 획득이라는 전제조건이 필요하므로 난이도는 높으나, 인증된 세션 내에서는 매우 치명적인 악용 가능성을 가집니다.

• 임의 파일 삭제: 시스템 설정 파일, 라이선스 키 또는 핵심 바이너리를 삭제하여 서비스 무결성을 파괴합니다.
• 서비스 거부(DoS): OS 및 애플리케이션 구동에 필수적인 파일을 삭제함으로써 시스템 전체 가용성을 즉시 상실시킬 수 있습니다.

본 취약점은 Path Traversal 유형입니다. 추정: 동일한 입력 검증 로직을 공유하는 다른 API 파라미터가 존재할 경우, 공격자는 updateLicense 외의 경로로 우회하여 파일 시스템에 접근하는 체이닝 공격을 시도할 수 있습니다.

다중 소스 데이터 일관성이 확인된 신뢰도 1.0의 리포트입니다. 실측 악용 예측치인 EPSS는 0.01195(백분위 0.65007)로 매우 낮으며, KEV 미등재 및 높은 권한 요구(PR:H) 조건으로 인해 실제 야생에서의 공격 확률은 낮으나 내부 위협 시 치명적입니다.

• 로그 지표: HTTP Request Log의 URI Path 및 Body 파라미터 필드, Application Error Log 내 FileNotFoundException 또는 Permission denied 메시지.
• 탐지 규칙 예시:
  1. WAF/IDS 정규식 (범용 API 타겟팅): 특정 엔드포인트에 국한하지 않고 파일 조작 패턴을 탐지합니다.
     • Pattern: (updateLicense|setConfig|applyPolicy).*(?:\.\.\/|\.\.\\|[a-zA-Z]:\\)
  2. SIEM 쿼리 (의사코드):
     sql복사

      1SELECT timestamp, src_ip, request_uri, payload 
      2FROM web_traffic_logs 
      3WHERE (request_uri MATCHES 'updateLicense|setConfig|applyPolicy') 
      4  AND (payload CONTAINS '../' OR payload CONTAINS '..\' OR payload MATCHES '/etc/.*')

  3. 시스템 무결성 모니터링: /etc/, C:\Windows\System32\ 등 핵심 경로 내 파일 삭제 이벤트가 발생한 시점의 HTTP 요청 로그를 역추적하여 상관관계를 분석합니다.
• 오탐 튜닝: 정상적인 라이선스 파일명에 포함된 단일 점(.)은 제외하고, 반드시 상위 디렉토리 이동 패턴(../)이나 시스템 절대 경로 키워드가 결합된 경우만 탐지하도록 정밀화합니다.

본 건은 CVSS 6.5 및 낮은 EPSS 수치에 근거하여 'monitor' 우선순위로 결정되었으나, 관리자 권한 탈취 시 가용성 파괴 위험이 크므로 다음과 같이 대응합니다.

• 즉시 (긴급 차단): WAF/API Gateway에서 ../, ..\ 문자열을 포함하는 모든 요청 Drop.
  • 난이도: 낮음 / 운영 영향: 매우 낮음 / 검증: 조작된 경로 전송 시 403 Forbidden 확인.
• 단기 (완화): updateLicense, setConfig, applyPolicy 등 파일/설정 변경 API 전체에 대해 화이트리스트 기반 입력값 검증 적용.
  • 내용: 허용된 파일명 패턴 외의 모든 특수문자 및 경로 구분자 차단. 엔드포인트 개별 대응이 아닌 공통 모듈 수준의 필터링을 권고합니다.
  • 난이도: 중간 / 운영 영향: 낮음 / 검증: 각 API에 Path Traversal 페이로드 주입 테스트.
• 근본 (해결): ATEN Unizon 2.7.264 이상 버전으로 업데이트.
  • 내용: 제조사 공식 패치를 통해 updateLicense 및 관련 메서드의 입력값 검증 로직 수정.
  • 난이도: 중간 / 운영 영향: 보통 (서비스 일시 중단 필요) / 검증: 업데이트 후 버전 확인 및 재검토.

패치 후 잔여 리스크: 패치 이후에도 동일한 공통 모듈을 사용하는 미공개 API가 존재할 수 있으므로, 파일 시스템 접근 로그에 대한 지속적인 모니터링이 필요합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.01195 · exploit=hard · in_scope=None