[공격] 분석 — CVE-2026-20146

• 심각도 medium · CVSS 5.5 · EPSS 0.0034 · 악용난이도 hard

• 공격 전제: 관리 권한을 가진 계정(프리미엄 사용자) 확보가 필수(PR:H). 네트워크 접근 가능(N)이며, 인증 절차 없이 UI 요구 없음(UI:N).
• 노출 엔드포인트: ISE‑PIC HTTP API (예: POST /pic/api/v1/file 혹은 GET /pic/files?path= 등)에서 파일 경로 파라미터를 받아 처리. 입력 검증 미비 → 절대경로 이스케이프(../) 가능.
• 정찰: 대상 ISE 버전 확인 (/api/system/version), PIC 서비스 활성화 여부 탐지, 관리자 계정 존재 여부 파악.
• 초기 접근: 확보한 관리자 인증 토큰/쿠키를 사용해 API에 로그인 후, 경로 파라미터에 ../../../../..%2Fetc%2Fshadow 와 같은 트래버설 문자열 전송.
• 실행·권한 획득: 파일 읽기 성공 시 /etc/shadow, /etc/passwd, ISE 설정 파일 등을 탈취 → 오프라인에서 패스워드 해시 크랙 또는 추가 서비스 인증 정보 추출, 결과적으로 로컬 루트 권한 혹은 다른 관리자 계정 탈취 가능.
• 지속: 획득한 루트/관리자 쉘을 이용해 백도어 설치(예: 시스템 서비스 등록)하거나 ISE 설정을 변경해 지속적인 인증 우회 구현.
• 영향: 네트워크 전역 인증·인가 흐름이 조작될 수 있어 기업 전체 보안 경계가 붕괴됨.

CVSS 벡터 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:L/A:N 은 실제 공격 조건(네트워크 접근, 낮은 난이도, 관리자 인증 필요)을 그대로 반영한다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는 AV:N(원격)이며, 공격 로직 자체는 복잡도가 낮아 AC:L로 평가됩니다. 그러나 성공하려면 관리 권한을 가진 계정이 필요하므로 PR:H가 적용되어 외부 공격자는 먼저 인증 정보를 탈취해야 하며, 이는 실전에서 가장 큰 장벽이 됩니다. UI:N은 사용자의 별도 동작 없이 요청만 전송하면 된다는 의미로, 자격 증명이 확보된 경우 탐지 없이 바로 경로 탐색을 수행할 수 있습니다. EPSS 0.0034는 현재 관찰된 실제 악용 사례가 극히 드물고, KEV에 등재되지 않은 점은 아직 광범위한 공격이 보고되지 않았음을 나타냅니다. 공격 표면은 Cisco ISE·ISE‑PIC의 관리 웹 UI에서 제공하는 HTTP 엔드포인트이며, 파일 경로를 입력받는 파라미터(예: /api/v1/file?path=)가 제대로 검증되지 않아 임의 파일 읽기·삭제가 가능해집니다. 따라서 자격 증명이 이미 유출된 상황이라면 공격 난이도는 낮아지지만, 초기 인증 단계가 존재하므로 전체적인 악용 가능성은 “hard” 등급에 부합합니다.

• 파일 읽기: /etc/shadow, ISE 데이터베이스, 라이선스 파일 등 민감 정보 탈취 → 계정 권한 상승 및 서비스 설정 유출.
• 파일 삭제: 구성 파일, 로그, 인증 정책 파일 등을 삭제하면 ISE 인증 기능 마비, 서비스 거부(DoS) 발생.
• 추가 위험: 탈취된 관리자 자격 증명으로 다른 네트워크 장비에 무단 접근 가능 → 전사적 권한 확대.

• CWE‑22 (Path Traversal) 가 기본 원인이며, 파일 읽기/삭제는 일반적인 정보 노출 → 인증 우회 체인의 첫 단계다.
• 추정: /etc/shadow 탈취 후 로컬 패스워드 해시 크랙(또는 재사용된 비밀번호) → CWE‑269 (Improper Privilege Management) 로 이어지는 권한 상승 시나리오가 현실적이다.
• 다른 ISE 관련 취약점(예: 인증 토큰 인젝션, CVE‑2025‑xxxx)과 결합하면 인증 우회 → 관리 API 남용 형태의 복합 공격이 가능하다.

• 웹 서버 로그에서 ../ 혹은 URL 인코딩(%2e%2e%2f) 패턴이 포함된 요청이 ISE‑PIC 파일 관련 엔드포인트에 기록되는 경우.
• 정상 관리자 세션 직후 비정상적인 파일 읽기/삭제 응답(200 OK + 파일 내용) 발생 시 경보.
• 시스템 감사 로그에서 /etc/shadow 같은 민감 파일 접근 이벤트가 기록되면 알림.

1. 패치 적용: Cisco ISE‑PIC 3.3.0 이상으로 즉시 업그레이드.
2. 인증 강화: 관리자 계정에 MFA 도입, 비활성화된 기본 계정 삭제, 불필요한 관리자 세션 종료.
3. 네트워크 제한: PIC API 접근을 내부 관리 VLAN 혹은 VPN으로 한정하고 방화벽 규칙으로 외부 IP 차단.
4. 입력 검증 강화: WAF/IPS에서 ../ 및 URL‑인코딩 트래버설 패턴 차단 정책 적용.
5. 로그 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림 설정, 파일 접근 로그 보관 기간 확대.

교차검증 결과 다중 소스에서 일관성이 확인되었으며, EPSS 0.0034 로 현재 실제 악용 사례는 낮지만 exploit difficulty = hard (관리자 인증 필요) 를 고려해 우선순위는 “monitor” 로 지정된 점을 감안하면, 패치와 접근 제어를 동시에 수행하는 것이 최적 대응이다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0034 · exploit=hard · in_scope=None