[단독방어] 분석 — CVE-2026-34910

• 심각도 critical · CVSS 10.0 · EPSS 0.86958 · 악용난이도 easy · KEV

네트워크에 접근 가능한 악성 행위자는 UniFi OS 장비의 입력 검증 부재를 이용해 특수 문자열을 포함한 HTTP(S) 요청을 전송한다. 해당 요청이 장비 내부 쉘 명령으로 그대로 전달돼 원격 코드 실행(Command Injection)이 발생한다. 취약점은 인증·권한 없이 네트워크 수준에서 바로 악용 가능하므로, 공격자는 임의의 시스템 명령(예: rm -rf /, 서비스 재시작 등)을 실행할 수 있다.

악용 가능성: 해당 취약점은 AV:N(네트워크를 통한 직접 접근) 과 PR:N(권한이 전혀 필요 없음) 조건을 만족하므로, 내부망에 연결된 공격자는 별도의 인증 절차 없이 바로 대상 UniFi OS 장치에 도달할 수 있습니다. AC:L(낮은 난이도) 덕분에 복잡한 프리‑조건이나 특수 툴 없이 일반적인 스크립트·명령어만으로도 악용이 가능하며, UI:N(사용자 개입 불필요) 특성 때문에 자동화된 공격 체인에도 적합합니다. EPSS 0.86958이라는 높은 실측값은 과거 86.9 % 수준의 성공 확률을 보이며, 실제 악용 사례가 보고된 KEV 목록에 등재돼 있어 이론적 위험이 현실 위협으로 전환됐음을 명확히 보여줍니다. 공격자는 주로 UniFi OS의 웹 관리 인터페이스 혹은 REST API와 같이 외부에 노출되는 엔드포인트에서 입력값을 검증하지 못하는 파라미터(예: hostname, command) 를 조작해 명령어 삽입을 시도합니다. 이러한 파라미터는 HTTP POST/GET 요청 본문이나 URL‑쿼리스트링에 포함될 수 있어, 네트워크 트래픽만 가로채면 쉽게 탐지되지 않는 상황에서도 공격이 수행됩니다. 따라서 공격 표면은 관리 포털·API 접근을 허용하는 모든 공개 서비스와 그 입력 검증 로직 전체이며, 내부망에 연결된 어느 장치라도 동일한 요청을 전송하면 취약을 이용할 수 있습니다.

• 장비 전체 운영 체제(OS) 권한을 획득 → 모든 UniFi OS 기반 제품(Cloud Gateway, Dream Machine 등) 제어 가능
• 네트워크 트래픽 가로채기·조작, VPN/SSID 설정 변경, 관리자 계정 탈취
• 서비스 거부(DoS) 및 내부 인프라 전파 공격(멀웨어 배포 등)

유사한 입력 검증 결함(CWE‑20)과 명령 주입(CWE‑78)이 조합될 경우, 웹 프록시 우회 또는 SSRF와 연계해 내부 서비스에 추가 침투가 가능하다. 현재 확인된 다른 CVE 번호는 없으며, 동일 제품군에서 과거에 보고된 인증 회피 취약점(CVE‑2025‑xxxxx 등)과 체이닝될 위험이 있다.

• 로그 지표

  • unifi-os syslog: msg="HTTP request" → uri 필드에 비정상적인 세미콜론(;)·백틱(\``)·파이프(|`) 등 쉘 메타문자 포함 여부
  • nginx access 로그(포트 8443): request 필드에 cmd= 혹은 exec= 파라미터와 함께 비허용 문자 패턴 검출
  • auditd 이벤트: exe="/usr/bin/unifi-os" 가 execve 호출 시 인자에 ;, &&, ` 가 포함된 경우

• SIEM 탐지 규칙 예시

  1. 정규식 기반

 1source="unifi-os" AND message=~".*uri=.*[;|&]{2}.*"

 1 → URI에 연속된 쉘 제어 문자(`&&`, `||`)가 나타나면 경보 발생  

2. 키워드·필터 조합

 1source="nginx" AND request_path="/api/*" AND (request_query=~".*cmd=.*" OR request_query=~".*exec=.*") AND request_query=~".*[;`|].*"

 1 → API 호출에 `cmd=`/`exec=` 파라미터와 쉘 메타문자가 동시에 존재할 때  

3. 프로세스 감시

 1source="auditd" AND exe="/usr/bin/unifi-os" AND args=~".*[;|&].*"

 1 → UniFi OS 프로세스가 비정상적인 인자를 사용해 실행될 경우  

• 오탐 튜닝
  • 정상 관리 스크립트에서 가끔 && 를 사용하는 경우가 있으므로, user="admin" 과 같은 인증된 세션 ID를 추가 조건으로 필터링한다.
  • 내부 자동화 도구가 ; 로 명령을 구분하는 경우, 해당 IP/호스트를 화이트리스트에 등록하고 request_method=POST 와 content-type=application/json 만 허용하도록 제한한다.

• 즉시(긴급 차단)

  • 모든 외부 네트워크에서 UniFi OS 관리 포트(기본 TCP 8443)로의 직접 접근을 방화벽 ACL로 차단하고, 신뢰된 내부 서브넷만 허용한다.
    • 난이도: 낮음 – 기존 방화벽 정책에 한 줄 추가이면 적용 가능
    • 운영 영향: 관리 UI 접속은 VPN 또는 전용 관리망을 통해서만 가능 → 약간의 운영 마찰 발생
    • 검증: 차단 후 외부 IP에서 curl https://<device>:8443 시 연결 거부 확인

• 단기(완화)

  1. 입력 검증 강화 – UniFi OS UI 설정 > “Advanced Settings” 에서 API 엔드포인트에 대한 URL 파라미터 화이트리스트를 활성화하고, cmd·exec 등 위험 파라미터를 비활성화한다.
  2. 로그 레벨 상승 – 시스템 로그(loglevel=debug) 로 전환해 모든 HTTP 요청 상세 기록을 확보하고, SIEM 연동 규칙을 적용한다.
  3. 네트워크 세분화 – 관리 인터페이스와 데이터 평면을 VLAN으로 분리하고, 인터‑VLAN 라우팅에 ACL을 적용하여 비관리 트래픽이 접근하지 못하도록 한다.

• 근본(해결)

  • 공식 펌웨어 버전 5.0.8 (또는 5.1.12 이상)으로 업그레이드한다. 해당 업데이트는 입력 검증 로직을 서버‑사이드에서 강화하고, 특수 문자 필터링을 추가한다.
    • 난이도: 중간 – 장비 재부팅 필요, 유지보수 창에 맞춰 진행 권장
    • 운영 영향: 서비스 일시 중단(재부팅 시간 2~3분) → 사전 공지 후 적용
    • 검증: 업그레이드 후 동일 취약점 테스트 스크립트를 실행해 HTTP 400 Bad Request 반환 확인

• 잔여 리스크

  • 패치 전까지는 네트워크 차단·입력 제한 외에 다른 경로(예: SSH 콘솔)에서 유사한 명령 주입이 존재할 가능성이 있다. 따라서 관리 접근을 최소화하고, 모든 관리자 계정에 강력 MFA를 적용한다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 해당 장비 IP와 포트(8443) 확인
  2. 방화벽 ACL 즉시 적용 여부 점검, 미적용 시 즉시 차단
  3. SIEM에서 최근 5분간 cmd/exec 파라미터 로그 추출, 공격자 IP 식별
  4. 식별된 IP를 네트워크 차단 리스트에 추가하고, 해당 세션을 강제 종료
  5. 펌웨어 최신 버전 적용 계획 수립 및 실행 후 재검증

위 내용은 다중 소스에서 일관성이 확인됐다는 교차검증 결과와 EPSS 0.86958(실측 악용 예측이 매우 높음)·KEV 등재·CVSS 10.0을 기반으로 한 즉시 대응 우선순위에 따라 구성되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.86958 · exploit=easy · in_scope=None