[분석가] 분석 — CVE-2026-7569

• 심각도 high · CVSS 8.8 · EPSS 0.0067 · 악용난이도 hard

• 원격 공격자는 viewclient 웹페이지에 조작된 파라미터를 삽입해 스크립트를 실행한다.
• 피해자가 악성 페이지를 열거나 변조된 파일을 열면 브라우저가 해당 스크립트를 실행하고, 인증 쿠키를 탈취하거나 세션을 위조한다.
• 이 과정을 통해 인증 우회를 달성한 뒤, 다른 취약점과 연계하면 SYSTEM 권한으로 코드 실행이 가능하다.

악용 가능성: 이 취약점은 네트워크를 통한 원격 접근(AV = N)이 가능하지만, 공격자는 사용자가 악성 페이지를 방문하거나 파일을 열도록 유도해야 하므로 사용자 상호작용(UI = R)이 전제됩니다. 공격 난이도는 접근 제어가 필요 없고(PR = N) 취약점 자체의 복잡도가 낮아(AC = L) 비교적 쉬우나, 피해자를 속여 악성 콘텐츠를 열게 하는 사회공학 단계가 포함돼 전체 등급은 hard으로 판단됩니다. EPSS = 0.0067이라는 실측값은 현재 관찰된 실제 공격 확률이 낮지만 완전히 배제되지 않음을 의미하며, KEV에 등재되지 않은 점은 아직 공개적인 악용 사례가 보고되지 않았다는 근거가 됩니다. 공격 표면은 Quest NetVault Backup의 viewclient 웹 페이지이며, 사용자 입력을 검증하지 않는 특정 파라미터(예: GET/POST query)에서 스크립트 주입이 가능합니다. 따라서 원격 공격자는 악성 URL이나 파일을 통해 해당 엔드포인트에 접근하고, 사용자가 이를 클릭·실행함으로써 인증 우회와 잠재적 코드 실행을 시도할 수 있습니다. 이러한 조건이 충족될 경우 시스템 권한(SYSTEM) 수준에서 임의 코드를 실행할 수 있는 위험이 존재합니다.

• 기술적 위험

  • 인증 우회 → 무단 접근 및 관리 콘솔 조작 가능.
  • 탈취된 세션 쿠키를 이용해 관리자 권한으로 명령 수행.
  • 연계 취약점이 존재할 경우 SYSTEM 수준 코드 실행, 백업 데이터 변조·삭제 등 심각한 파괴 행위가 발생할 수 있다.

• 비즈니스 위험

  • 가용성: 백업 서비스 중단 또는 데이터 손실로 복구 시점 회귀 위험.
  • 규제/컴플라이언스: 민감 데이터가 포함된 백업이 무단 열람·삭제될 경우 개인정보보호법·산업규격 위반 가능.
  • 신뢰도: 고객 및 파트너에게 서비스 무결성 의심을 초래해 계약 손실 위험.

• 영향 범위

  • 대상 제품: Quest NetVault Backup 버전 14.0.2 미만 전부.
  • 다중 소스 교차검증 결과([교차검증])에 따라 해당 버전에 한정된 것으로 확인됨(신뢰도 1.0).

• XSS 기반 인증 우회는 기존 세션 고정(CVE‑XXXX‑YYYY)이나 파일 업로드 취약점과 결합해 SYSTEM 권한 획득 시나리오를 구성할 수 있다(구체적인 CVE 번호는 확인되지 않음).
• ZDI‑CAN‑28202에서 언급된 바와 같이, 추가적인 로컬 권한 상승 또는 원격 코드 실행 취약점이 존재하면 전체 공격 체인이 완성된다.

• 웹 서버 로그에 viewclient 경로에 <script> 혹은 javascript:가 포함된 파라미터 요청이 기록되는 경우.
• 인증 쿠키(예: NETVAULTSESSION)가 비정상적인 IP·User‑Agent 조합으로 사용될 때 알림 생성.
• WAF/IPS에서 “Cross‑Site Scripting – Authentication Bypass” 규칙 위반 이벤트 발생([실측 악용예측] EPSS 0.0067, hard 등급).

• 즉시: 최신 보안 패치를 적용하여 viewclient 페이지의 입력 검증 로직을 업데이트한다.
• 임시: 웹 애플리케이션 방화벽에 viewclient 파라미터에 대한 XSS 차단 규칙을 추가하고, 인증 쿠키에 HttpOnly; Secure 속성을 강제 적용한다.
• 장기: 정적·동적 코드 분석으로 모든 사용자 입력 경로를 재검토하고, CSP(Content Security Policy)와 같은 브라우저 기반 방어 메커니즘을 도입한다.

우선순위는 이번 주 내에 패치를 배포하고 탐지 규칙을 적용하는 것이 권고되며([우선순위 결정] CVSS 8.8·non‑KEV·EPSS 0.0067·exploit hard).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.0067 · exploit=hard · in_scope=None