[방어] 분석 — CVE-2026-34908

• 심각도 critical · CVSS 10.0 · EPSS 0.61906 · 악용난이도 easy · KEV

본 취약점은 UniFi OS의 권한 검증 누락(Improper Access Control)으로 인해, 인증되지 않은 네트워크 사용자가 특정 API 엔드포인트에 직접 요청을 보내 시스템 설정을 무단 변경하는 경로를 가집니다.

• 기본 경로: 외부/내부망 $\rightarrow$ 관리 인터페이스(API) $\rightarrow$ 권한 검증 미흡 엔드포인트 호출 $\rightarrow$ 설정 변조 및 제어권 획득.
• 심화 경로 (체이닝): 단순 API 접근이 ACL로 차단된 경우, 내부 서비스의 SSRF 취약점을 이용해 localhost 기반의 인증 토큰을 탈취한 후 이를 사용하여 관리자 권한으로 설정을 변경하는 우회 공격이 가능합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 실제 악용 가능성은 극히 높습니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯, 공격자는 인증이나 사용자 상호작용 없이 네트워크를 통해 원격으로 접근할 수 있으며, 복잡한 사전 조건 없이 즉시 트리거가 가능한 수준입니다. 특히 EPSS 점수가 0.61906으로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 야생(In-the-wild)에서 공격 도구가 유포되고 실제 침해 사고가 빈번히 발생하고 있음을 증명합니다. 공격 표면은 UniFi OS 장치의 관리 인터페이스 및 네트워크 엔드포인트로 노출되며, Improper Access Control 결함으로 인해 권한 검증이 누락된 특정 API 파라미터나 프로토콜 경로가 주요 타겟이 됩니다. 결과적으로 외부망에 노출된 UniFi OS 장비는 별도의 보호 조치가 없다면 공격자의 시스템 설정 변경 및 제어권 탈취에 무방비로 노출된 상태입니다.

• 전체 네트워크 제어권 상실: VLAN 설정, 방화벽 규칙, 사용자 계정 등을 무단 수정하여 트래픽 미러링(Sniffing)이나 백도어 계정 생성 가능.
• 인프라 가용성 파괴: 핵심 네트워크 장비의 설정을 임의로 변경하여 전사적 네트워크 마비 유발.
• 권한 상승: 비인증 사용자가 시스템 최고 관리자 수준의 영향력을 행사함.

• SSRF $\rightarrow$ Privilege Escalation: 내부 API 토큰 탈취 엔드포인트와 결합하여 경계 방화벽 ACL을 무력화하는 체이닝 가능성이 매우 높습니다.
• Lateral Movement: 침투한 공격자가 UniFi OS 장비를 거점으로 삼아 신뢰 구역(Trusted Zone) 내 다른 세그먼트로 이동하는 경로로 악용될 수 있습니다.

다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특히 EPSS 0.61906(백분위 0.99092)은 이론적 심각도와 독립적으로 실제 환경에서 악용될 확률이 매우 높음을 시사합니다. KEV 등재 사실에 근거하여 즉시 탐지 체계를 가동해야 합니다.

1. 로그 분석 지표

• 대상: UniFi OS 시스템 로그, 웹 서버(nginx/uhttpd) 액세스 로그, 방화벽 트래픽 로그.
• 핵심 필드: src_ip, request_method (POST/PUT/PATCH), url_path, http_response_code, user_agent.

2. 탐지 규칙 예시

• Rule 1: 비인가 IP의 설정 변경 시도 (SIEM 의사코드)
  sql복사

   1SELECT timestamp, src_ip, url_path, http_response_code FROM http_logs 
   2WHERE request_method IN ('POST', 'PUT', 'PATCH') 
   3  AND url_path LIKE '/api/s/%' -- 추정: UniFi OS 설정 API 경로
   4  AND (http_response_code = 200 OR http_response_code = 204)
   5  AND src_ip NOT IN (ADMIN_WHITELIST_IPS)

• Rule 2: 내부 토큰 탈취 시도 및 SSRF 패턴 (정규식)
  • 요청 바디나 URL에 루프백 주소 또는 인증 토큰 경로가 포함된 경우 탐지.
  • 정규식 예시: /(?:localhost|127\.0\.0\.1|api\/s\/auth\/token)/i
• Rule 3: 비정상적 API 호출 빈도 (임계값 기반)
  • 동일 IP에서 단시간 내에 다수의 설정 변경 API(POST/PUT)를 호출하는 행위 탐지.
  • 조건: count(request) > 10 per minute AND url_path LIKE '/api/s/%'

3. 오탐 튜닝 및 대응

• 오탐 시나리오: 정상 관리자의 대량 설정 변경 작업 또는 중앙 집중형 관리 소프트웨어의 API 호출.
• 튜닝 방법: ADMIN_WHITELIST_IPS를 최신화하고, 관리자의 평소 작업 시간대와 패턴을 분석하여 Baseline을 설정한 후 이를 벗어나는 Burst 트래픽에 대해서만 알람을 발생시킵니다.

CVSS 10.0 및 KEV 등재로 인해 immediate 우선순위 대응이 필요하며, 단순 경계 차단을 넘어 내부 신뢰 관계를 이용한 공격까지 고려해야 합니다.

1. 즉시 (긴급 차단)

• 조치: 관리 인터페이스(HTTPS/SSH) 접근을 신뢰할 수 있는 특정 IP 대역으로만 제한하는 ACL 적용.
• 난이도: 낮음 / 운영 영향: 낮음 (관리자 외 접속 불가) / 검증: 비인가 IP에서 관리 페이지 접속 시 Timeout 또는 Reject 확인.

2. 단기 (위험 완화)

• 조치 1: API 토큰 정책 강화. 토큰의 TTL(Time-to-Live)을 최소화(추정: 24시간 이하)하고 주기적으로 회전시켜 탈취된 토큰의 유효 기간을 단축합니다.
• 조치 2: 내부망 SSRF 탐지 및 API IP-Allowlist 적용. localhost 대상 HTTP 요청을 감시하고, API 엔드포인트 자체에 IP 화이트리스트를 적용하여 내부 스푸핑 리스크를 낮춥니다.
• 난이도: 중간 / 운영 영향: 보통 (토큰 재인증 빈도 증가) / 검증: 토큰 만료 후 정상적인 재인증 프로세스 작동 확인.

3. 근본 (해결)

• 조치: 영향 제품군을 최신 버전으로 업데이트.
  • unifi_os_server $\ge$ 5.0.8
  • firmware (Industrial, Dream Machine 시리즈) $\ge$ 5.1.12
• 난이도: 보통 / 운영 영향: 높음 (장비 재부팅으로 인한 일시적 네트워크 단절 발생) / 검증: 업데이트 후 버전 확인 및 취약 엔드포인트 호출 시 403 Forbidden 응답 확인.

잔여 리스크: 패치 이후에도 유사한 Improper Access Control 결함이 존재할 수 있으므로, 설정 변경 API 호출 시 MFA(다중 인증)를 강제하는 제로 트러스트 모델 도입을 권고합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.61906 · exploit=easy · in_scope=None