[공격] 분석 — CVE-2026-65313

• 심각도 high · CVSS 8.1 · EPSS 0.00176 · 악용난이도 hard

• 공격 표면: HIPASE‑250 워크스테이션에 기본적으로 5900/TCP(또는 x11vnc가 바인딩한 포트)에서 실행되는 x11vnc 서비스.

• 전제 조건: 인접 네트워크(같은 VLAN, 사무실 LAN 등)에 대한 IP 접근 권한이 있으며, 공격자는 스크립트에 하드코딩된 비밀번호를 사전에 입수한다. (교차검증: 다중 소스에서 일관성이 확인됐다)

• 단계

  1. 정찰 – Nmap 등으로 내부 네트워크의 열린 5900 포트를 스캔, 서비스 배너(x11vnc)를 확인.
  2. 초기 접근 – 알려진 고정 비밀번호(예: hipase250default)로 VNC 클라이언트를 이용해 인증 시도 (CVSS AV:A / AC:L / PR:N).
  3. 권한 획득 – 인증 성공 시 워크스테이션의 전체 화면에 원격 접속, 로컬 사용자 권한(기본적으로 로그인된 계정)으로 시스템 제어.
  4. 지속 – VNC 세션을 유지하거나, ~/.vnc/passwd 파일을 교체해 새로운 비밀번호를 설정하고 재부팅 후에도 접근 지속.
  5. 영향 – 화면 캡처, 키 입력 가로채기, 악성 스크립트 실행, 내부 네트워크 내 다른 시스템으로의 Lateral Movement 가능.

• CVSS 벡터와 실제 조건 매핑: 인접 네트워크(AV:A) → 낮은 난이도(L)·인증 불필요(PR:N)·사용자 상호작용 없음(UI:N)·비밀 정보 및 무결성 손상(C/H I:H)이 바로 실현된다.

악용 가능성: CVSS 벡터 AV:A는 원격 인터넷이 아닌 인접 네트워크(예: 동일 LAN)에서만 접근 가능함을 의미하므로 물리적·네트워크 경계가 제한됩니다. AC:L은 인증 없이 바로 시도할 수 있음을 나타내지만, 실제로는 고정된 x11vnc 비밀번호를 사전에 입수해야 하며 이는 내부 정찰 또는 정보 유출이 전제조건입니다. PR:N와 UI:N 덕분에 사용자의 개입 없이 자동으로 연결이 가능하므로 일단 인증 정보를 확보하면 추가적인

• 인증 없이 VNC 세션을 열어 전체 화면 제어와 키 입력 가로채기가 가능해짐.
• 내부 시스템에 저장된 기밀 문서·소스 코드·인증 토큰 등에 직접 접근 가능.
• 공격자는 해당 워크스테이션을 발판으로 다른 내부 자산에 수평 이동하거나, 악성 명령 실행을 통해 서비스 거부(DoS)까지 유발할 수 있다.

• CWE‑798 (Hard‑coded Credentials) : 이 결함은 고정 비밀번호가 배포 단계에서 삽입돼 모든 인스턴스에 동일하게 적용된다.
• 추정: 하드코딩된 VNC 비밀번호를 이용해 초기 접근을 확보한 뒤, 워크스테이션 내 존재할 수 있는 로컬 권한 상승 취약점(예: sudo NOPASSWD 설정, 취약한 서비스)과 연계하면 권한 상승 → 원격 코드 실행 체인이 완성된다.
• VNC 세션 자체가 터널링되지 않은 경우, 네트워크 스니핑을 통해 추가 인증 정보나 내부 토큰을 탈취할 수 있다(전형적인 “Credential Reuse” 패턴).

• 네트워크 레벨: 내부 LAN에서 5900/TCP에 대한 비정상적 트래픽 급증, 특히 다수 IP가 동일 포트에 반복 연결 시도.
• 호스트 로그: x11vnc 로그(~/.vnc/*.log)에 “Authentication succeeded” 혹은 “Failed password attempt” 메시지가 기록될 경우 경보 생성.
• SIEM/EDR: VNC 클라이언트 실행 프로세스(vncviewer, xtightvncviewer 등)와 동시에 높은 권한의 로컬 셸(예: shell.exe, bash)가 시작되는 이벤트 매칭.

• 즉시 조치
  • provisioning script에서 하드코딩된 비밀번호를 제거하고, 각 워크스테이션마다 고유한 강력 비밀번호 또는 키 기반 인증을 적용.
  • VNC 서비스 포트를 내부 방화벽으로 차단하거나, 신뢰할 수 있는 관리 네트워크(IP 화이트리스트)만 허용.
• 근본 해결
  • 공급업체가 제공하는 패치·업데이트가 나오면 즉시 배포.
  • 가능하면 x11vnc 대신 TLS‑encapsulated VNC(예: x0vncserver with SSH tunnel)로 전환하고, 인증 메커니즘을 다중 요소(MFA)로 강화.
• 추가 방어
  • 정기적인 비밀번호 회전 정책 수립·감사, 그리고 모든 신규 워크스테이션에 대해 자동화된 보안 구성 검증(예: CIS Benchmarks) 수행.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=0.00176 · exploit=hard · in_scope=None