[분석가] 분석 — CVE-2025-46394

• 심각도 low · CVSS 3.2 · EPSS 0.00149 · 악용난이도 hard

(1) 트리거 조건: busybox tar 유틸리티를 사용하여 아카이브 목록을 확인하는 과정에서, 파일 이름에 포함된 ANSI Terminal Escape Sequence가 터미널 제어 문자로 해석되어 특정 항목이 화면 출력에서 누락되거나 가려지는 결함입니다.
(2) 공격 단계:

• 정찰 및 준비: 타겟 시스템이 BusyBox tar를 사용함을 확인하고, 이스케이프 시퀀스가 포함된 악성 파일명을 가진 아카이브 생성.
• 초기 접근: 사회 공학적 기법 또는 기존 권한을 통해 해당 아카이브를 타겟 시스템에 업로드/전달.
• 실행 및 은닉: 관리자나 사용자가 tar -tvf 등의 명령어로 내용을 확인 시, 이스케이프 시퀀스로 인해 일부 파일이 보이지 않게 하여 악성 파일의 존재를 은폐.
  (3) 공격 표면: busybox tar 명령어를 통해 처리되는 .tar 아카이브 내의 파일 이름 필드.
  (4) CVSS 벡터 연결:
• AV:L (Local): 로컬 시스템에서 아카이브를 실행/조회해야 함.
• AC:H (High): 특정 터미널 환경 및 이스케이프 시퀀스의 정확한 조합이 필요함.
• PR:N / UI:N: 특권이나 사용자 상호작용 없이 파일 생성만으로 가능하나, 실제 영향은 조회하는 사용자의 화면에서 발생.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:L/AC:H 벡터가 나타내듯, 공격자가 이미 시스템에 로컬 접근 권한을 가진 상태에서 특수하게 조작된 TAR 아카이브를 실행시켜야 하는 높은 제약 조건을 가집니다. 공격 표면은 BusyBox의 tar 유틸리티가 처리하는 파일 이름 파라미터이며, 터미널 이스케이프 시퀀스를 이용해 파일 목록 출력을 은폐함으로써 관리자의 가시성을 차단하는 방식으로 트리거됩니다. EPSS 수치가 0.00149로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 자동화된 대규모 공격이 관측되지 않았음을 시사합니다. 그러나 이론적 심각도와 별개로, 신뢰할 수 없는 아카이브를 처리하는 환경에서는 파일 은닉을 통해 후속 악성 행위를 숨길 수 있다는 점에서 잠재적 위협이 존재합니다. 결과적으로 로컬 접근 전제조건과 복잡한 트리거 과정으로 인해 공격 난이도는 'Hard'로 판단되며, 직접적인 원격 코드 실행보다는 사회공학적 기법이나 권한 상승 과정의 은폐 수단으로 악용될 가능성이 높습니다.

(1) 기술적 위험: 무결성 저해(Integrity Low). 시스템 장악이나 데이터 유출과 같은 직접적인 제어권 획득보다는, 아카이브 내에 숨겨진 파일이 존재함을 인지하지 못하게 하여 보안 검사나 수동 확인을 우회하는 '은닉'이 주된 위험입니다.
(2) 비즈니스 영향: 신뢰성 저하. 관리자가 아카이브 내용을 신뢰하고 배포하거나 설치할 때, 의도치 않은 파일이 포함되어 있을 가능성이 있어 공급망 보안 및 내부 무결성 검증 프로세스에 혼선을 줄 수 있습니다.

• 추정: 단독으로는 영향력이 낮으나, '파일 업로드 제한 우회' 또는 '악성 스크립트 은닉' 유형의 결함과 체이닝될 수 있습니다. 예를 들어, 아카이브 내에 숨겨진 악성 설정 파일이나 스크립트를 함께 배포하고, 이후 다른 취약점을 통해 이를 실행시키는 시나리오가 가능할 것으로 추정됩니다.

(1) 로그 지표: tar 명령어 실행 이력 및 입력 파일의 메타데이터 중 비정상적인 제어 문자 포함 여부.
(2) 탐지 규칙 예시:

• 로직: 아카이브 내 파일 이름에 ANSI Escape Code(\x1b 또는 \033)가 포함되어 있는지 검사.
• 정규식 예시: (\x1b\[[0-9;]*[mK]) (터미널 색상/커서 제어 시퀀스 탐지)
• SIEM 쿼리(의사코드): SELECT filename FROM archive_metadata WHERE filename REGEXP '\x1b\['
  (3) 오탐 시나리오: 특수 문자가 포함된 정상적인 파일 이름이나 특정 바이너리 데이터가 텍스트로 해석될 때 발생 가능. 실제 터미널 출력 결과와 원본 파일 리스트를 비교하는 방식으로 튜닝이 필요합니다.

• 즉시(긴급 차단): 신뢰할 수 없는 출처의 .tar 아카이브에 대해 tar -tvf 대신, 제어 문자를 무시하거나 이스케이프 시퀀스를 필터링하는 외부 도구를 사용하여 리스트를 확인하십시오. (난이도: 하 / 영향: 낮음 / 검증: 출력 결과 비교)
• 단기(완화): 아카이브 파일의 해시(Hash) 값을 사전에 공유하여 무결성을 검증하고, cat -v 등 제어 문자를 가시화하는 명령어를 조합해 목록을 확인하십시오. (난이도: 하 / 영향: 낮음 / 검증: 해시 일치 여부 확인)
• 근본(해결): BusyBox 버전을 1.37.0 이상으로 업그레이드하십시오. (난이도: 중 / 영향: 보통, 라이브러리 의존성 확인 필요 / 검증: busybox tar --version 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인(신뢰도 1.0)되었으며, 실측 EPSS 값(0.00149, 백분위 0.04532)과 CVSS 3.2의 낮은 점수, 그리고 KEV 미등재 및 AV:L/AC:H 조건을 근거로 규칙 기반 우선순위를 'monitor'로 결정하였습니다. 이는 이론적 심각도보다 실제 야생에서의 악용 가능성이 매우 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=3.2 · non-KEV · EPSS=0.00149 · exploit=hard · in_scope=None