[단독분석] 분석 — CVE-2026-20215

• 심각도 high · CVSS 7.5 · EPSS 0.00573 · 악용난이도 moderate

이 취약점은 클라맹(ClamAV) 엔진이 7z 압축 파일을 파싱할 때 경계 검사를 제대로 수행하지 않아 발생합니다.
공격자는 인증 없이 임의의 7z 파일을 스캔 요청에 포함시켜 전송하면, 파일 내부의 비정상적인 크기/오프셋 값으로 인해 버퍼 외 쓰기가 일어나 ClamAV 프로세스가 비정상 종료됩니다. 이 과정은 순수히 파일 전달만으로 이루어지며 추가 권한 상승 단계는 존재하지 않습니다.

악용 가능성: 이 취약점은 네트워크를 통해 파일을 전달할 수 있는 모든 엔드포인트에서 바로 악용될 수 있으므로 Attack Vector (AV:N) 는 “Network”이며, 실제 공격자는 별도의 사전 준비 없이도 7z 형식의 변조된 파일만 전송하면 됩니다. **Attack Complexity (AC:L)**가 낮게 평가된 이유는 경계 검증 오류가 단순히 파일 내부 구조만 조작하면 되기 때문에 복잡한 스킬이나 추가 도구가 필요하지 않기 때문입니다. 또한 **Privileges Required (PR:N)**와 **User Interaction (UI:N)**이 모두 “None”으로 설정돼 있어, 공격자는 인증 없이도 대상 시스템에 직접 파일을 제공하고 사용자의 개입 없이 DoS를 유발할 수 있습니다. EPSS 값 0.00573은 현재 관측된 악용 사례가 매우 적지만 완전히 없지는 않으며, KEV 리스트에 등재되지 않은 점은 아직 대규모 공격이 보고되지 않았음을 의미합니다. 따라서 실제 위험도는 이론적 “Moderate” 등급과 일치하지만, 클램AV를 파일 스캐너(메일 게이트웨이, 웹 업로드 검사 등)로 사용하는 모든 서비스가 잠재적인 attack surface가 됩니다. 공격자는 7z 콘텐츠를 포함한 악성 파일을 해당 스캔 엔드포인트에 제출함으로써 메모리 버퍼 오버플로우를 일으켜 ClamAV 프로세스를

• 기술적 위험

  • 메모리 손상에 따른 서비스 중단(DoS) – ClamAV 스캔 프로세스가 강제 종료되어 해당 엔드포인트에서 악성코드 검사가 일시적으로 중단됩니다.
  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H에 명시된 바와 같이 기밀성과 무결성은 영향을 받지 않으며, 가용성만이 직접적인 피해 대상입니다.

• 비즈니스 리스크

  • 엔드포인트 보안 솔루션(Cisco Secure Endpoint)이 내부적으로 ClamAV 라이브러리를 사용하므로, DoS 발생 시 악성코드 탐지가 지연되어 추가 침해 위험이 간접적으로 증가할 수 있습니다.
  • 가용성 저하로 인해 서비스 수준 협약(SLA) 위반 및 규제·컴플라이언스(예: PCI‑DSS, HIPAA)의 지속적인 보호 요구사항을 충족하지 못할 가능성이 존재합니다.

• 영향 제품 및 노출 규모

  • 영향을 받는 제품군은 총 5개이며, Cisco Secure Endpoint(< 1.27.2, < 1.29.0, < 8.6.2)와 ClamAV(< 1.4.5, 1.5.0‑1.5.3)가 포함됩니다.
  • 다중 소스에서 일관성이 확인됐으며([교차검증] 신뢰도 1.0), 공급망(공용 라이브러리) 차원의 취약점이므로 조직 전반에 걸쳐 광범위하게 노출될 가능성이 있습니다.

• 악용 가능성

  • EPSS 0.00573은 현재 악용 사례가 드물지만 완전히 배제되지 않음을 의미합니다([실측 악용예측]).
  • KEV(Exploited‑Known‑Exploits) 리스트에 등재되지 않았으며, PoC는 공개되지 않은 상태입니다.

• 동일한 아카이브 파서 메모리 손상 유형(CWE‑787)과 연관된 과거 CVE(예: 7z/zip 파서 버그)와 유사한 공격 경로를 가질 수 있습니다.
• 현재 알려진 체이닝 시나리오는 없으나, DoS 상태가 지속될 경우 다른 침투 단계(예: 파일 업로드 우회)를 수행할 여지를 제공할 가능성이 존재합니다.

• 로그 기반: ClamAV 데몬(clamd)이 비정상 종료하거나 SIGSEGV/SIGABRT 신호를 기록한 경우.
• 파일 특성: 7z 파일 헤더에서 비정상적으로 큰 압축 블록 크기 또는 오프셋 값을 가진 샘플이 스캔될 때 경고 로그가 생성됩니다.
• IDS/IPS 시그니처 예시: alert tcp any any -> any 3310 (msg:"ClamAV 7z parser OOB write"; content:"|37 7A|"; depth:2; offset:0; byte_test:4,>,1000000,8; sid:20260001;)

• 즉시 조치

  • ClamAV를 버전 1.4.5 이상 또는 1.5.4 이상으로 업데이트합니다.
  • Cisco Secure Endpoint를 각각 1.27.2, 1.29.0, 8.6.2 이상의 최신 패키지로 업그레이드합니다([우선순위 결정]에 따라 이번 주 내 적용 권고).

• 보조 방어

  • 정책적으로 7z 파일 형식의 자동 스캔을 제한하거나, 의심스러운 7z 파일이 들어올 경우 격리 구역에서 사전 검증하도록 구성합니다.
  • ClamAV 프로세스 모니터링 및 자동 재시작 메커니즘을 도입하여 DoS 발생 시 서비스 복구 시간을 최소화합니다.

• 장기 대책

  • 공급망 관리 차원에서 사용 중인 오픈소스 라이브러리 버전을 주기적으로 검증하고, 보안 알림에 신속히 대응하는 프로세스를 마련하십시오.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00573 · exploit=moderate · in_scope=None