[단독분석] 분석 — CVE-2026-18293

• 심각도 high · CVSS 7.8 · EPSS 0.00203 · 악용난이도 hard

• 원격 공격자는 악의적인 OPJ 파일을 제작해 사용자를 속여 해당 파일을 열게 함(또는 악성 웹 페이지에서 자동 다운로드 후 열도록 유도).
• 파싱 과정에서 입력 데이터 검증이 누락돼 할당된 버퍼를 초과해 쓰기(write‑past) 발생 → 공격자는 현재 프로세스 컨텍스트에서 임의 코드를 실행.

악용 가능성: 이 취약점은 AV:L(Local) 로 분류되며, 공격자는 피해자가 악성 OPJ 파일을 직접 열거나 웹 페이지에서 자동으로 다운로드하도록 유도해야 합니다. AC:L(Low) 은 파싱 로직에 대한 기본적인 입력 조작만으로 메모리 쓰기 오류를 발생시킬 수 있어 구현 난이도가 낮음을 의미합니다. PR:N(None) 은 공격 수행 시 별도의 권한 상승이 필요 없으며, 파일을 열면 현재 프로세스 컨텍스트에서 코드가 실행됩니다. UI:R(Required) 로 명시된 바와 같이 사용자 상호작용이 필수이며, 이는 실제 악용 가능성을 제한합니다. EPSS 0.00203이라는 매우 낮은 실측값과 KEV 미등재는 현재까지 야생 공격 사례가 거의 없으며, 이론적 심각도와 달리 실제 위협 수준이 낮음을 뒷받침합니다. 공격 표면은 OriginLab Origin Viewer의 OPJ 파일 파서이며, 노출되는 엔드포인트는 파일 열기·로드 기능과 이를 호출하는 로컬 애플리케이션 프로세스입니다.

• 기술적 위험: 성공 시 메모리 손상으로 임의 코드가 실행되어 시스템 권한을 획득하거나 악성 프로그램을 주입할 수 있음. 이는 서비스 중단·시스템 장악·추가 악성 행위(예: 랜섬웨어, 정보 유출)로 이어질 가능성이 높음.
• 비즈니스 위험:
  • 가용성: 원격 코드 실행으로 핵심 워크스테이션이 불안정해져 업무 연속성에 영향.
  • 규제·컴플라이언스: 민감 데이터가 저장된 환경에서 침해가 발생하면 개인정보보호법 등 관련 법규 위반 위험.
  • 신뢰도: Origin Viewer를 사용 중인 고객에게 보안 사고가 알려지면 기업 이미지 손상 가능.
• 영향 제품·노출 규모: 현재 영향을 받는 정확한 버전·배포 범위는 공개되지 않았음(추정: 최신 버전 포함). 다중 소스에서 일관성이 확인됐으며(교차검증) ‘미상’이지만, Origin Viewer를 설치하고 OPJ 파일을 열 수 있는 모든 엔드포인트가 잠재적 공격 표면임.

• 메모리‑코루전 계열(CWE‑787 등)의 다른 파일 파싱 오류와 유사하게, 사전 권한 상승(Privilege Escalation) 또는 로컬 코드 실행(LPE) 취약점과 연계될 경우 방어 경계를 우회할 수 있음. 현재 확인된 직접적인 CVE 연결은 없음.

• 파일 기반: 파일 무결성 모니터링에서 비정상적으로 큰 혹은 구조가 깨진 .opj 파일 로드 시 알림.
• 행위 기반: Origin Viewer 프로세스에서 예외적인 메모리 쓰기(예: 페이지 보호 위반) 또는 비정상적인 DLL 로딩이 감지될 경우 IDS/EDR 로그에 기록.
• 네트워크: 악성 OPJ 파일을 전달하는 HTTP(S) 요청의 Content-Type: application/octet-stream 혹은 application/opj 헤더와 함께 비정상적인 파일 크기 패턴 탐지.

• 즉시 조치
  • 알려진 악성 OPJ 파일 차단(메일 게이트웨이, 웹 프록시 등).
  • Origin Viewer 사용을 최소화하고, 불필요한 경우 프로그램 제거.
  • 최신 보안 패치를 벤더가 제공하면 즉시 적용(패치 미배포 시 임시 방어용 레지스트리/그룹 정책으로 파일 실행 제한).
• 근본 해결
  • 공급업체에서 발표하는 공식 업데이트를 적용해 입력 검증 로직을 강화.
  • 운영 체제 수준 DEP, ASLR, Control Flow Guard 등 메모리 보호 기능 활성화.
  • EDR 솔루션에 위 탐지 지표 기반 커스텀 시그니처 추가.

우선순위 판단 근거: 교차검증 결과 다중 소스에서 일관성이 확인됐으며(교차검증), EPSS = 0.00203은 실제 악용 가능성을 낮게 예측하지만 CVSS 7.8·고위험 메모리‑코루전 특성으로 인해 “scheduled (이번 주 내)”로 우선순위를 부여하였다(우선순위 결정). KEV에 등재되지 않았으나, hard 등급·local + user‑interaction UI:R 벡터가 결합돼 신속 대응이 필요함을 의미한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00203 · exploit=hard · in_scope=None