[공격] 분석 — CVE-2025-68686

• 심각도 medium · CVSS 5.9 · EPSS 0.00477 · 악용난이도 easy · KEV

(1) 트리거 조건: crafted HTTP requests를 통해 기존에 적용된 Symbolic Link Persistency 메커니즘의 패치를 우회하여 민감한 정보에 접근함.
(2) 공격 단계 및 전제조건:

• 정찰: 대상 FortiOS 버전 확인 및 외부 노출 인터페이스 식별.
• 초기 접근/실행 $\rightarrow$ 권한 획득: 전제조건 - 본 취약점 단독으로는 불가능하며, 이미 다른 취약점을 통해 파일시스템 레벨의 침투가 완료된 상태여야 함.
• 지속성(Persistence): 기존 패치가 막고 있던 Symbolic Link 기반의 지속성 확보 기법을 HTTP 요청으로 우회하여 재구축.
• 영향: 권한이 없는 외부 공격자가 내부 민감 정보에 접근(Info-Disclosure).
  (3) 공격 표면: HTTP 프로토콜 및 관련 엔드포인트. 추정: 특정 관리 인터페이스나 API 엔드포인트가 타겟이 될 가능성이 높음.
  (4) CVSS 벡터 분석: AV:N/AC:H/PR:N/UI:N. 네트워크를 통해 인증 없이 접근 가능하나, 파일시스템 권한 획득이라는 전제조건과 정교한 요청 구성이 필요하여 복잡도(AC:H)가 높음.

악용 가능성: 본 취약점은 AV:N/PR:N으로 네트워크상에서 인증 없이 접근 가능하지만, 실제 공격 성공을 위해서는 파일 시스템 레벨의 권한 획득이 선행되어야 하는 AC:H(High) 조건의 체이닝 취약점입니다. 공격 표면은 외부로 노출된 HTTP 엔드포인트이며, 조작된 HTTP 요청을 통해 기존에 적용된 Symbolic Link 지속성 메커니즘 패치를 우회하는 방식으로 트리거됩니다. 단일 취약점만으로는 영향력이 제한적이나, KEV 등재 사실과 EPSS 0.00477 수치는 공격자가 이미 초기 침투(Initial Access) 후 권한 상승 및 지속성 유지(Persistence) 단계에서 이 결함을 적극적으로 활용하고 있음을 증명합니다. 즉, 이론적인 복잡도와 별개로 실제 공격 체인 내에서는 '패치 우회'라는 결정적 역할을 수행하므로 실전 악용 가능성이 매우 높습니다. 결과적으로 정찰 후 다른 RCE 취약점으로 초기 진입한 공격자가 시스템 내부에 상주하기 위해 이 경로를 선택하는 시나리오가 핵심입니다.

(1) 기술적 위험: CWE-200 (Sensitive Information Exposure). 공격자가 시스템 내부의 민감한 설정 파일, 인증 정보 또는 시스템 경로 정보를 탈취할 수 있음. 이는 침투 후 권한 유지 및 추가 공격을 위한 정찰 단계에서 결정적인 역할을 함.
(2) 비즈니스 영향: FortiOS 6.4.0부터 7.6.2까지 광범위한 버전이 영향을 받으므로 노출 규모가 매우 큼. 기밀 데이터 유출로 인한 컴플라이언스 위반 및 보안 신뢰도 하락.

본 취약점은 단독 공격보다는 'Post-Exploit' 단계의 체이닝 도구로 작동함.

• 체이닝 경로: RCE/File Write(기타 취약점) $\rightarrow$ CVE-2025-68686 (패치 우회 및 정보 유출) $\rightarrow$ Privilege Escalation / Persistence.
• 추정: 파일시스템 접근 권한을 얻은 공격자가 Symbolic Link를 통해 시스템 영역에 지속적으로 접근하려 할 때, 기존 방어 로직을 무력화하는 형태로 체이닝됨.

(1) 로그 지표: HTTP Access Log 내의 비정상적인 경로 요청(../, /etc/, 또는 특수 문자가 포함된 URI 파라미터).
(2) 탐지 규칙 예시:

• 로직 1 (URI 패턴): HTTP Request URI에 Symbolic Link 유도 패턴이나 시스템 파일 접근 시도가 포함된 경우.
  • SELECT * FROM http_logs WHERE uri REGEXP '(\.\./|/etc/passwd|/var/log/)' AND status = 200
• 로직 2 (비정상 요청): 인증되지 않은 외부 IP에서 관리자 페이지 외의 특정 엔드포인트로 반복적인 crafted request 송신.
  (3) 오탐 시나리오 및 튜닝: 정상적인 시스템 업데이트나 내부 진단 도구의 요청이 탐지될 수 있음. 신뢰할 수 있는 내부 관리 IP를 화이트리스트에 추가하여 튜닝.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00477(실측값)과 KEV 등재 사실을 근거로 규칙 기반 우선순위가 immediate로 결정됨. 이론적 CVSS(5.9)보다 실제 악용 가능성과 전파 속도가 중요하므로 즉각 대응이 필요함.

• 즉시 (긴급 차단): 관리 인터페이스(HTTPS/HTTP)에 대한 외부 접근을 ACL(Access Control List)로 엄격히 제한하여 신뢰할 수 있는 IP만 허용. (난이도: 하 / 영향: 낮음 / 검증: 외부망 접속 테스트)
• 단기 (완화): IPS(Intrusion Prevention System) 시그니처를 업데이트하여 비정상적인 HTTP 요청 패턴 차단. (난이도: 중 / 영향: 낮음 / 검증: 모의 패킷 송신)
• 근본 (해결): 영향을 받는 버전(FortiOS 6.4, 7.0, 7.2, 7.4.7+, 7.6.3+)으로 최신 보안 패치 업데이트 적용. (난이도: 중 / 영향: 높음-재부팅 필요 / 검증: 버전 확인)

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=5.9 · KEV · EPSS=0.00477 · exploit=easy · in_scope=None