[단독분석] 분석 — CVE-2026-5846

• 심각도 medium · CVSS 5.7 · EPSS 미확보 · 악용난이도 hard

• 펌웨어 바이너리에서 평문으로 포함된 RSA 개인키와 X.509 인증서를 추출한다(예: (?s)-----BEGIN PRIVATE KEY-----.*?-----END PRIVATE KEY-----).
• 추출한 키·인증서를 사용해 HTTPS/TLS 핸드쉐이크 시 서버를 가장하고, 관리 콘솔과의 암호화 트래픽을 복호·변조한다.
• CVSS 벡터(AV:N/AC:H/PR:H/UI:R)로 보아 공격자는 네트워크 접근 → 관리자 권한 확보 → 사용자의 로그인 동작이 모두 필요하다.

악용 가능성: 이 취약점은 네트워크를 통해 원격으로 접근 가능한 Watchfire Controller의 웹 관리 인터페이스(HTTPS/TLS)에서 자체 서명된 RSA 개인키가 바이너리 내 평문으로 포함돼 있어 인증 우회가 가능함을 의미합니다. CVSS 벡터 AV:N은 공격자가 인터넷을 통해 직접 접속할 수 있음을, AC:H는 키를 추출하거나 교체하기 위해 복잡한 역공학 및 서명 검증 회피가 필요함을 나타냅니다. PR:H와 UI:R은 공격이 관리자 권한을 가진 계정으로 실행되어야

• 기밀성: TLS 위조를 통해 관리 콘솔에 전송되는 설정, 인증 정보, 로그 등이 노출될 수 있다.
• 무결성: 변조된 TLS 세션을 이용해 장비 구성을 임의로 수정하거나 악성 명령을 삽입할 가능성이 있다.
• 가용성: 직접적인 서비스 중단은 보고되지 않았지만, 위변조된 설정이 시스템 장애를 일으킬 위험이 존재한다.
• 비즈니스 리스크
  • 관리 인터페이스 신뢰 상실로 인한 운영 효율 저하 및 사고 대응 비용 증가.
  • 민감 데이터 유출 시 PCI‑DSS·ISO 27001 등 규제 위반 위험.
  • 고객·파트너에 대한 신뢰도 하락 및 평판 손실 가능성.
• 영향 제품·노출 규모: 영향을 받는 구체적 모델이나 버전이 공개되지 않아(제품: 미상) 조직 내 Watchfire Controller를 운영 중인 모든 인스턴스를 대상으로 점검해야 함. [교차검증]

• 하드코딩된 인증서·키는 CWE‑321(Hard‑coded Credentials)과 유사한 패턴이며, 원격 지원 기능을 우회하는 다른 취약점과 결합될 경우 초기 접근 단계 없이 TLS 위조가 가능할 잠재성이 있다. 현재 확인된 연쇄 CVE 번호는 없음.

• 펌웨어 이미지에서 PRIVATE KEY 문자열 혹은 PEM 헤더/풋터 정규식 검색.
• TLS 핸드쉐이크 시 서버 인증서 지문이 사전 등록된 정상 지문과 일치하는지 검증.
• 원격 지원 파일스토어에 대한 비정상적인 대량 다운로드 또는 미승인 IP 접근 로그 감시.

1. 즉시 조치

   • 관리 인터페이스에 대한 네트워크 접근을 VPN·IP‑ACL 등으로 제한하고, 불필요한 외부 접속 차단.
   • 원격 지원 기능을 일시 중지하고, 현재 펌웨어를 백업 후 검증된 최신 버전으로 교체.

2. 근본 해결

   • 공급업체가 제공하는 하드코딩 키가 제거·재생성된 최신 펌웨어로 업데이트.
   • 자체 서명 인증서 대신 신뢰할 수 있는 CA‑서명 인증서를 사용하도록 TLS 종료 프록시 도입.

3. 예방적 관리

   • 정기적인 펌웨어 무결성 검증 및 키·인증서 회전 절차를 정책화.
   • EPSS가 현재 미확보이며 KEV에 등재되지 않았음([실측 악용예측]), 따라서 우선순위는 **monitor (모니터링)**으로 설정하고, 위협 인텔리전스 피드와 CVE 모니터링을 지속한다. [우선순위 결정]

• 조치: monitor (모니터링)
• 근거: CVSS=5.7 · non-KEV · EPSS=미확보 · exploit=hard · in_scope=None