[공격] 분석 — CVE-2026-48272

• 심각도 high · CVSS 7.8 · EPSS 0.00136 · 악용난이도 hard

• 트리거 조건: 애플리케이션이 필요한 DLL이나 라이브러리를 로드할 때, 절대 경로가 아닌 상대 경로를 사용하거나 검색 순서(Search Order)에 취약한 디렉터리가 포함되어 있을 때 발생함. 공격자가 쓰기 권한을 가진 경로에 악성 DLL을 배치하면 프로세스가 이를 정상 파일로 오인해 로드함.
• 공격 단계:
  1. 정찰: 대상 시스템의 Creative Cloud Desktop 설치 버전 확인 및 현재 사용자의 쓰기 가능 디렉터리(예: %AppData%, 다운로드 폴더 등) 식별.
  2. 초기 접근: 피싱, 사회 공학적 기법 또는 다른 로컬 취약점을 통해 타겟 시스템의 사용자 권한으로 악성 DLL 파일을 특정 경로에 드롭. (전제: PR:L - 낮은 수준의 권한 필요)
  3. 실행 및 권한 획득: 애플리케이션 실행 시 Uncontrolled Search Path 결함으로 인해 공격자의 DLL이 로드되어 Arbitrary Code Execution 발생. 현재 사용자 컨텍스트에서 코드가 실행됨.
  4. 지속/영향: 로드된 페이로드를 통해 레지스트리 수정, 시작 프로그램 등록 등을 수행하여 지속성 확보 및 데이터 탈취.
• 공격 표면: Windows OS의 DLL Search Order 및 Creative Cloud Desktop 프로세스의 라이브러리 로딩 함수.
• CVSS 벡터 분석:
  • AV:L: 로컬 접근 필요. 네트워크를 통한 직접 공격은 불가하며, 파일 드롭 단계가 선행되어야 함.
  • AC:H: Exploit depends on conditions beyond the attacker's control 명시됨. 특정 경로에 파일이 배치되어야 하고 프로세스가 정확한 타이밍에 로드해야 하므로 난이도 높음.
  • PR:L: 일반 사용자 권한만으로 실행 가능.
  • UI:N: 사용자의 추가 클릭 없이 애플리케이션 구동만으로 트리거됨.

악용 가능성: 본 취약점은 AV:L 및 AC:H 벡터가 보여주듯, 공격자가 이미 대상 시스템에 로컬 접근 권한을 가진 상태에서 매우 까다로운 환경적 전제조건이 충족되어야 실행 가능한 Hard 등급의 결함입니다. 구체적으로는 Creative Cloud Desktop 프로세스가 실행 파일을 탐색하는 Search Path 상의 우선순위를 악용하여 악성 DLL/Binary를 주입하는 DLL Hijacking 또는 Path Interception 형태의 공격 표면을 가집니다. EPSS 수치가 0.00136으로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 RCE 가능성과 달리 실제 야생(In-the-wild)에서 단독으로 악용된 사례가 희박함을 입증합니다. 공격자는 타겟 시스템의 특정 디렉터리에 쓰기 권한을 확보해야 하며, 애플리케이션이 의도치 않은 경로에서 라이브러리를 로드하도록 유도하는 정교한 트리거 조건이 필요합니다. 따라서 이 취약점은 단독 공격보다는 초기 침투 후 일반 사용자 권한에서 권한 상승(Privilege Escalation)을 꾀하거나, 다른 취약점과 체이닝하여 실행 컨텍스트를 확보하려는 시나리오에서 제한적으로 악용될 가능성이 높습니다.

• 기술적 위험: 현재 로그인된 사용자 권한의 완전한 제어권 획득. 해당 사용자가 접근 가능한 모든 파일 읽기/쓰기, 브라우저 세션 탈취, 로컬 네트워크 내 스캔 등이 가능함. S:C (Scope Changed)로 인해 애플리케이션 경계를 넘어 OS 수준의 영향력을 행사함.
• 비즈니스 영향: 디자인 및 개발 자산이 집중된 워크스테이션의 데이터 유출 위험. 기업 내부 기밀 문서나 프로젝트 소스 코드 탈취 가능성 존재.

• 추정: 권한 상승 체인: Local Privilege Escalation (LPE) 취약점과 결합될 경우, 일반 사용자 권한에서 시작해 SYSTEM 권한까지 획득하는 체인 구성 가능.
• 추정: 초기 침투 체인: 브라우저의 Drive-by Download 또는 매크로 실행 파일 등을 통해 악성 DLL을 먼저 드롭한 후, 본 취약점을 이용해 실행시키는 형태의 체이닝 예상. (DLL Side-Loading 패턴)

• 로그 지표: Windows 이벤트 로그(Event ID 4688 - 프로세스 생성) 및 Sysmon Event ID 7 (Image Loaded).
• 탐지 규칙:
  1. 비정상 경로 DLL 로드: Creative Cloud Desktop 프로세스가 표준 설치 경로(C:\Program Files\Adobe\...)가 아닌 사용자 쓰기 가능 경로(%AppData%, %Temp%, Downloads)에서 .dll 파일을 로드하는 경우 탐지.
     • Logic: ImageLoaded == "Creative Cloud Desktop" AND LoadedModulePath contains ("\Users\", "\AppData\Local\Temp")
  2. 미서명 DLL 실행: Adobe 프로세스에 의해 로드된 DLL 중 Digital Signature가 없거나 신뢰할 수 없는 인증서로 서명된 파일 식별.
• 오탐 시나리오 및 튜닝: 일부 플러그인이나 사용자 정의 설정 파일이 사용자 폴더에서 로드될 수 있음. 화이트리스트 기반으로 정상적인 Adobe 구성 요소 경로를 제외하여 튜닝 필요.

• 즉시(긴급 차단): Creative Cloud Desktop 애플리케이션의 실행을 일시 중지하거나, 사용자 쓰기 가능 폴더 내에서 .dll 파일 생성을 차단하는 EDR 정책 적용. (난이도: 하 / 영향: 업무 중단 발생 가능)
• 단기(완화): Windows SafeDllSearchMode 활성화 확인 및 불필요한 환경 변수(PATH) 내 사용자 쓰기 가능 경로 제거. (난이도: 중 / 영향: 타 소프트웨어 호환성 영향 가능성 낮음)
• 근본(해결): Adobe Creative Cloud Desktop을 6.9.1.1 버전 이상으로 업데이트. (난이도: 하 / 영향: 재부팅 필요할 수 있으나 가장 확실한 해결책)

[분석 근거]

• 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00136, 백분위 0.03468)을 바탕으로 실제 야생에서의 악용 가능성이 매우 낮음(hard)을 확인했습니다.
• CVSS 점수(7.8)는 높으나 로컬 접근(AV:L)과 높은 공격 복잡도(AC:H), KEV 미등재 및 낮은 EPSS 수치를 종합하여 우선순위를 scheduled(이번 주 내 대응)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00136 · exploit=hard · in_scope=None