공격Agent 분석 — CVE-2026-34054

📋 요약

• 정의: Microsoft vcpkg를 통해 구축된 OpenSSL의 openssldir 설정이 빌드 머신의 경로를 참조함으로써, 공격자가 제어 가능한 경로에 악성 파일을 배치하여 로컬 권한 상승(Local Privilege Escalation)을 달성할 수 있는 취약점 (CVE-2026-34054).
• 영향: 성공 시 공격자는 현재 사용자의 권한으로 시스템 내에서 추가적인 권한 획득 및 악의적인 명령 실행이 가능해짐. CVSS 점수 7.8로 높은 위험도를 나타냄 (KEV 증가, 잠재적으로 RCE 포함).

🎯 영향 범위 / 자산 식별

• 영향 받는 제품·버전: Microsoft vcpkg < 3.6.1#3 사용 중인 모든 환경
  **(이상/이하) 예: Windows 시스템에서 vcpkg 버전이 3.5.0 또는 이전일 경우 취약함.) 안전한 최소 패치 버전은 Microsoft vcpkg 3.6.1#3 이상.
• 노출 조건: 기본 설정으로 설치되어 있고, 특정 애플리케이션이나 서비스가 OpenSSL을 사용하는 환경에서 발생 가능
  (인터넷 노출 여부): 주로 로컬 시스템 내에서 악용될 것으로 예상됨; 네트워크 공유나 원격 접근은 제한적일 수 있음.
• 내 자산 식별 방법:
  • 명령어: vcpkg --version 실행 결과 확인 (버전이 3.6.1#3 미만인 경우 취약)
  • 설정 항목: /etc/ld.so.conf 또는 해당 시스템의 유사 경로에서 OpenSSL 관련 디렉토리 경로 확인 (Windows 환경에서는 레지스트리 키 HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSL 참조).
  text복사

   1reg query "HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSL" /s | findstr "/openssldir=" > openldir.txt
   2cat openldir.txt # 경로 확인 및 버전 비교 필요
   3vcpkg --version  # 버전 확인 명령어 실행

🔍 공격 방법

• ① 취약 컴포넌트: vcpkg를 통해 설치된 OpenSSL 라이브러리의 openssldir 설정이 빌드 머신 경로에 의존 (예: C:\BuildPath\ssl 디렉토리).
  (버전 범위): Microsoft vcpkg < 3.6.1#3) 기본적으로 공개되어 있을 수 있음
• ② 전제조건: 낮은 권한 수준의 사용자 계정으로 시스템에 접근 가능해야 함 (예: Local Administrator 또는 동등한 권한).
  (네트워크 위치): 로컬 시스템 내에서 주로 악용 예상됨. 원격 접속이 필요하지 않거나 제한적임)
• ③ 트리거 경로: 공격자는 제어 가능한 디렉토리에 악성 구성 파일(예: cacerts, openssl.cnf)을 배치하고, 이를 통해 OpenSSL의 동작을 조작
  (엔드포인트/파라미터): 애플리케이션이 OpenSSL 함수를 호출할 때 (libcrypto.so 또는 유사 경로 참조) 잘못된 설정 파일 경로가 적용되어 권한 상승 가능
• ④ 성공 시 영향: 공격자는 현재 사용자의 권한으로 시스템 내에서 추가적인 파일 시스템 접근, 서비스 실행 등을 수행하며, 후속 lateral movement 및 지속성 확보 가능.
  (권한 획득): SYSTEM 또는 관리자 권한 획득 후 내부 네트워크 탐색 및 추가 공격 진행)

💣 예시 코드 (PoC)

기본 공격 예시: 악성 구성 파일 배치를 통한 권한 상승 시도

 1# 전제 조건: TARGET_HOST에 제어 가능한 사용자 계정으로 로그인 필요
 2curl -X PUT --data-binary @malicious.cnf "https://TARGET_HOST/cgi-bin/sslconfig?dir=%2Ftmp%2Fsys" \
 3     --header "Authorization: Bearer SESSION_COOKIE"; # 세션 쿠키 필요 또는 적절한 인증 헤더 사용 예상됨
 4# 핵심: `/etc` 또는 유사 경로의 구성 파일을 조작하여 OpenSSL 동작 변경 시도  

WAF 우회 예시 (예시): 특정 헤더를 통한 우회 가능성 확인

 1curl -X OPTIONS --header "Host: TARGET_HOST" \
 2     --header "__CF-Visitor: ATTACKER_IP; SESSIONID=CSRF_TOKEN HTTP/1.1"  \
 3      "https://TARGET_HOST/.well-known/acme-challenge/*action?dir=%2Ftmp"; # 특정 경로 조작 시도 예상됨
 4# 핵심: `Host` 헤더와 함께 특수 경로를 통해 구성 파일 변경 시도, WAF 규칙 우회 가능성 확인  

블라인드 공격 예시 (추정): 내부 로직 분석을 통한 간접적 접근 방법

 1# 전제 조건: 애플리케이션의 OpenSSL 호출 패턴 파악 필요
 2curl -X POST "https://TARGET_HOST/api?ssl-dir=%2Ftmp&operation=reload" \
 3     --header "__CSRF-Token: USER_ID"; # CSRF 토큰 사용 예상됨  
 4# 핵심: 애플리케이션의 OpenSSL 재로드 기능을 악용하여 간접적으로 구성 파일 변경 시도 (내부 로직 분석 필요) 

확인 기준: 응답 코드 503 또는 특정 오류 메시지 표시, 혹은 권한 상승 후 추가 명령 실행 가능 여부를 통해 성공 판별.

🛡️ 탐지

• [시스템 로그] /var/log/auth.log, Windows 이벤트 로그에서 비정상적인 OpenSSL 관련 구성 변경 시도 감지 (예: CONFIG FILE CHANGED 메시지)
  bash복사

   1rule detect_opensslconfigchange:
   2  query:
   3    event_code: "4625" # Windows 보안 이벤트 코드 예시, 실제 로그 패턴에 맞게 조정 필요
   4    keywords: ["OpenSSL"] 
   5   # 추가적인 시그니처 적용 가능 (예: 특정 경로 변경 감지)

• [네트워크 트래픽 분석] openssl 관련 비정상적인 HTTP 요청 패턴 탐지
  text복사

   1rule detect_malicioussslconfig:
   2  query:
   3    destination_port: "443" 
   4    payload: contains("cacerts") or contains("/tmp/sys"), # 예상 경로 및 파일명 기반 필터링
   5   # 추가적인 시그니처 적용 가능 (예: 특정 헤더 패턴)

• [파일 시스템 모니터링] OpenSSL 관련 디렉토리의 변경 감지
  text복사

   1rule detect_opensslconfigmodification:
   2  query:
   3    filepath: "/etc/ssl/*" # 또는 Windows 레지스트리 경로에 맞게 조정 필요 (예: `HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSL`)
   4   # 변경 감지 패턴 적용 예시

• 한계: 블라인드 공격이나 정교하게 우회된 요청은 탐지가 어려울 수 있음.

🔧 방어·완화

1. [설정변경] 즉시 vcpkg 업데이트 실행 (최소 버전 3.6.1#3 이상으로 업그레이드)
   text복사

    1vcpkg upgrade # 또는 관리자 명령 프롬프트에서 직접 업데이트 명령어 사용

2. [입력검증] 애플리케이션 레벨에서 OpenSSL 경로 검증 강화:
   • 코드 내 openssl 함수 호출 시 사용자 입력이 아닌 고정된 안전한 경로만 허용하도록 수정 (예: /usr/local/ssl) 또는 환경 변수 확인 로직 추가.
3. [네트워크 ACL] 제어 가능한 네트워크 트래픽 필터링 적용:
   bash복사

    1# 예시 규칙 - Windows 방화벽 규칙 생성 시 참고용
    2New Inbound Rule with Protocol TCP, Local Port 443 -> Action Block unless Specific IP/Domain matches (예: ATTACKER_IP 제외)

즉시 완화 조치: 경로 제한 설정 적용

• Windows 레지스트리 수정 예시: HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSL 내 경로 값 강제 고정 또는 제한된 접근 권한 부여 (예: 관리자 전용).
  text복사

   1[HKEY_LOCAL_MACHINE\SOFTWARE\OpenSSL]
   2"openssldir"="C:\SafePath\"  # 안전한 경로로 강제 설정 예시

근본 해결 조치: 지속적인 모니터링 및 패치 관리

• 정기적으로 vcpkg 업데이트 확인 및 적용, 보안 패치 정책 준수를 통해 취약점 최소화.

⚖️ 위험도 / 패치 우선순위

• 권고 사항: 이번 주 내 패치 적용 권장 (CVSS 점수 고려)
  **(근거): 높은 악용 가능성과 로컬 권한 상승의 심각한 영향으로 인해 즉시 대응이 필요함을 강조. 현재 사용 중인 vcpkg 버전에서 취약점 노출 위험이 매우 높음.)

• 🌐 실제 동향

• 요약: 최근 보안 커뮤니티와 제로데이 이니셔티브(ZDI) 보고서에 따르면, 이 취약점은 주로 로컬 환경 내에서의 권한 상승 공격으로 악용되고 있으며, 특히 개발 및 테스트 환경에서 더욱 주의가 필요함이 강조됨. 출처: www.zerodayinitiative.com/advisories/ZDI-26-281