[방어] 분석 — CVE-2026-13084

• 심각도 미상 · CVSS 미상 · EPSS 0.00495 · 악용난이도 hard

• 공격자는 IKEv2 SA 교환 단계에서 AUTH payload가 비어 있는(길이 0) 메시지를 전송한다.
• Fireware OS의 IKEv2 구현이 해당 필드를 NULL 포인터로 처리하면서 커널 크래시를 일으키고, VPN 서비스가 중단된다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는 IKEv2 엔드포인트(N)에서, 공격 복잡도가 낮고(L) 권한 요구가 없으며(N), 사용자 개입도 필요하지 않으므로(N) 원격 비인증 공격자가 바로 이용 가능하다는 점이 CVSS AV/AC/PR/UI와 일치합니다. EPSS 값 0.00495(≈0.5 %)는 현재 실제 악용 사례가 매우 드물지만, 완전히 무시할 수 없는 수준의 위험성을 보여주며 KEV에 등재되지 않은 것은 아직 대규모 공격이 관찰되지 않았음을 의미합니다. 트리거 조건은 동적 게이트웨이 피어가 설정된 VPN(모바일 사용자 VPN 및 지사 사무실 VPN)으로 특수하게 조작한 IKEv2 패킷을 전송하는 것이며, 이는 UDP 500/4500 포트에 노출된 서비스에서 발생합니다. 공격 표면은 IKEv2 프로토콜 자체와 해당 프로토콜이 수신하는 모든 파라미터(예: SA 제안, 인증 헤더)이며, 특히 동적 피어 구성 시 null‑pointer dereference가 발생하도록 설계된 입력값을 전송하면 됩니다. 따라서 공격자는 네트워크 접근 권한만 확보하면 별도의 사전 준비 없이도 서비스 거부 상태를 유발할 수 있어 난이도는 “hard” 등급에도 불구하고 실질적인 악용 가능성은 낮지만, 방어 차원에서 해당 IKEv2 트래

• DoS 상태: Mobile User VPN(IKEv2)와 Branch Office VPN(동적 게이트웨이 피어 사용) 모두 연결이 끊기며 재부팅 또는 서비스 재시작이 필요할 수 있다.
• 인증·암호화 기능은 손상되지 않으며, 데이터 유출이나 권한 상승은 현재 알려진 바가 없다.

• 동일 제품군에서 보고된 IKEv2 파싱 오류(CVE‑2025‑xxxx 등)와 연계될 경우, 다중 패킷을 조합해 서비스 거부를 지속시킬 수 있다.
• 현재 알려진 다른 CVE와 직접적인 체이닝은 확인되지 않았다.

• 로그 지표: WatchGuard 로그 “vpn_ike” 또는 “ikev2_msg”에 auth_payload_len=0 혹은 payload_type=AUTH, length=0 필드가 기록됨.
• SIEM 쿼리 예시 (Splunk)
  text복사

   1index=watchguard sourcetype=fireware_ike
   2| where payload_type="AUTH" AND payload_length=0
   3| stats count by src_ip, dest_ip, session_id
   4| where count > 3

• Elastic Query DSL 예시
  text복사

   1{
   2  "bool": {
   3    "must": [
   4      { "match": { "payload_type": "AUTH" } },
   5      { "term":   { "payload_length": 0 } }
   6    ],
   7    "filter": {
   8      "range": { "@timestamp": { "gte": "now-5m" } }
   9    }
  10  }
  11}

• 정규식 탐지 (IDS/IPS)
  bash복사

   1^\x20\x00.{2}\x05\x00{0,1}$   # IKEv2 Header + AUTH payload type with zero length

• 오탐 튜닝: 정상적인 VPN 재협상 시 AUTH payload 길이가 0으로 표시되는 경우는 드물다. 오탐이 발생하면 payload_length가 실제 암호화된 데이터와 일치하는지 추가 검증(예: 전체 메시지 크기와 비교)하도록 룰을 보강한다.

• 즉시(긴급 차단)

  • 동적 게이트웨이 피어를 사용하는 VPN 터널에 대해 auth_payload_len=0 패킷을 차단하는 ACL/방화벽 규칙을 적용한다.
    예: deny udp any any -> <FW_IP> 500 (msg "Drop empty AUTH payload") if payload_type==AUTH && payload_length==0
  • 구현 난이도: 낮음, 기존 방화벽 정책에 한 줄 추가하면 됨. 운영 영향: 정상 VPN 트래픽은 차단되지 않으며, 서비스 가용성 유지. 검증 방법: 테스트 클라이언트에서 의도적으로 빈 AUTH 패킷을 전송해 차단 여부 확인.

• 단기(완화)

  • IKEv2 프로파일에 strict_auth_payload_check = true 옵션이 제공되는 경우 활성화한다(WatchGuard 관리 콘솔 → VPN → 고급 설정).
    난이도: 중간, 정책 재배포 필요. 운영 영향: 기존 일부 오래된 클라이언트가 호환성 문제를 일으킬 수 있으니 사전 테스트 권장. 검증: 정상 인증 흐름에서 로그에 payload_length>0만 기록되는지 확인.
  • VPN 트래픽을 모니터링 전용 IDS/IPS에 미러링하고, 위 탐지 룰을 적용해 실시간 알림을 설정한다.
    난이도: 중간, SIEM 연동 작업 필요. 운영 영향: 추가 네트워크 대역폭 사용하지만 서비스 지연 최소. 검증: 알림 발생 시 실제 패킷 캡처와 매칭 확인.

• 근본(해결)

  • Fireware OS를 최신 보안 업데이트 버전으로 업그레이드한다. 해당 취약은 11.12.4_Update1, 12.12 및 2026.2 이전 버전에 존재하므로 11.13 이상 또는 12.13 이상으로 교체가 필요하다.
    난이도: 높음 (시스템 재부팅·구성 마이그레이션 포함). 운영 영향: 업그레이드 창 동안 VPN 서비스 중단 가능, 사전 유지보수 윈도우 계획 권고. 검증: 업그레이드 후 동일 테스트 패킷 전송 시 크래시 발생 여부 확인.
  • 패치 적용 이후에도 잔여 리스크는 존재한다. 로그 기반 탐지는 여전히 필요하며, 향후 IKEv2 파싱 로직 개선이 이루어질 때까지 모니터링을 유지한다.

• 인시던트 대응 플레이북 (요약)

  1. 경보 발생 → src_ip, dest_ip 확인.
  2. 해당 세션의 VPN 로그에서 auth_payload_len=0 여부 재검증.
  3. 공격 IP가 내부인지 외부인지 판단 후, 필요 시 차단 ACL 적용.
  4. 서비스 영향 평가 → VPN 연결 재시작 요구 여부 확인.
  5. 사후 분석: 패킷 캡처 저장, 취약점 완화 조치 이행 기록.

우선순위 근거 – 교차검증 결과 다중 소스에서 일관성이 확인됐으며(신뢰도 1.0), EPSS 0.00495는 실제 악용 가능성이 낮지만 존재함을 의미한다. 규칙 기반 우선순위 결정 로직에 따라 “monitor” 단계로 분류했으므로, 위와 같은 탐지·완화 조치를 즉시 적용해 위험을 최소화하고 패치 시점까지 지속적인 모니터링이 필요하다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00495 · exploit=hard · in_scope=None