[공격] 분석 — CVE-2026-65311

• 심각도 medium · CVSS 5.3 · EPSS 0.00269 · 악용난이도 moderate

• 공격 표면

  • 대상 시스템: ANDRITZ HIPASE‑250 (이전 250 SCALA) 내장 HTTP 서버.
  • 노출 엔드포인트: 문서화되지 않은 /logging(또는 유사 경로)으로, 파라미터 level(예: OFF/ERROR)와 target(로그 전송 대상)을 받아 로그 설정을 변경한다. 인증 요구가 없으며 CSRF‑Token이 필요하다는 증거는 현재 사실에 포함되지 않는다.
  • 프로토콜: HTTP / HTTPS, 포트 80·443 등 서비스가 열려 있으면 접근 가능(CVSS AV:N).

• 단계별 흐름

  1. 정찰 – 네트워크 스캔으로 대상 호스트와 포트를 식별하고, HTTP 헤더 혹은 기본 페이지에 “HIPASE‑250” 문자열이 포함된 경우 서비스를 확인한다(다중 소스 교차검증에서 일관됨).
  2. 초기 접근 – 단순 GET/POST 요청에 level=OFF&target=<IP> 를 포함해 undocumented endpoint에 전송한다. 인증 불필요(PR:N), 사용자 상호작용 없음(UI:N), 복잡도 낮음(AC:L) → CVSS 벡터와 일치.
  3. 실행·권한 획득 – 서버가 요청을 수락하면 로그 레벨이 즉시 OFF 로 전환되고, 이후 발생하는 모든 감사 이벤트가 기록되지 않는다. 이 단계에서 별도 권한 상승은 필요하지 않으며, 공격자는 은폐된 상태로 추가 악성 행위를 수행할 수 있다.
  4. 지속·영향 – 로그 억제 상태가 유지되는 동안 파일 업로드, 원격 코드 실행(RCE) 등 다른 취약점을 이용해 지속적인 침투를 진행한다. 로그가 남지 않으므로 탐지가 크게 어려워진다.

• 우회·추가 조건

  • DGX_A의 의견처럼 내부 네트워크에 노출된 경우 IP 스푸핑이나 SSRF를 통해 우회 접근이 가능하다. 따라서 방화벽 규칙에 원본 IP 검증과 메서드 제한을 추가하는 것이 필요하다(교차검증 결과와 일치).
  • 만약 구현체가 CSRF‑Token을 요구한다면, 내부 프록시·쿠키 자동 전파 등을 통해 토큰을 획득한 뒤 동일 절차를 재사용할 수 있다. 현재 사실에서는 인증 토큰이 필수라는 증거가 없으므로 기본 공격 흐름은 토큰 없이 진행된다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크를 통해 직접 접근할 수 있으며, 요청을 하나만 전송하면 되는 낮은 복잡도(L)와 인증·사용자 개입이 필요 없는 조건(N)을 의미합니다. 실제로 ANDRITZ HIPASE‑250 HTTP 서버가 문서에 명시되지 않은 /setLogLevel(예시) 엔드포인트를 공개하고 있어, 해당 URL과 level·target 파라미터만 전달하면 로그 레벨을 조정할 수 있습니다. 이 엔드포인트는 인증 절차가 전혀 없으므로 원격 공격자는 네트워크 접근 권한만 확보하면 즉시 악용이 가능하며, 이는 “난이도 Low”에 해당합니다. EPSS 0.00269이라는 실측 값은 전체 취약점 중 약 0.27% 정도의 확률로 실제 공격이 발생했음을 보여주며, KEV 목록에 등재되지 않았음에도 불구하고 로그 억제라는 고유한 영향으로 시스템 침해를 은폐할 수 있는 현실적인 위협임을 뒷받침합니다. 트리거 조건은 단순히 HTTP POST/GET 요청만이면 되므로 정찰 단계에서 서비스 포트(보통 80·443)와 엔드포인트 존재 여부만 확인하면 공격이 시작됩니다. 따라서 이 취약점의 공격 표면은 “HTTP 서버 → 미공개 endpoint → level/target 파라미터”이며, 별도의 권한 상승이나 체이닝 없이도 바로 시스템 가시성을 감소시키는 실질적인 위험을 제공합니다.

• 로그 억제로 인해 감사·침해 대응 능력 상실 → 침입 흔적이 남지 않아 사후 포렌식 및 실시간 탐지가 불가능해진다.
• 직접적인 데이터 손실이나 시스템 파괴는 없지만, 이후 수행되는 RCE·권한 상승·파일 탈취 등의 공격이 탐지 회피된 상태로 진행될 수 있어 전체 보안 태세가 크게 약화된다.

• CWE‑287(Improper Authentication)과 CWE‑200(Information Exposure) 기반의 인증 우회 → 로그 억제 → 다른 취약점(예: 파일 업로드, 명령 주입) 활용으로 권한 상승·RCE 로 이어지는 전형적인 체인이다.
• 현재 확인된 별도 CVE 번호는 없으며, 이 결함 자체가 정보 노출 → 인증 우회 → 권한 상승 흐름을 제공한다(추정).

• 네트워크 IDS/IPS: GET /logging 혹은 유사 경로에 level= 파라미터가 포함된 HTTP 요청을 감시한다.
• 호스트 기반 모니터링: 로그 설정 파일(logging.conf 등)의 변경 이벤트와 짧은 시간 내 다중 변경을 알림으로 전환한다.
• SIEM: “log level changed to OFF” 혹은 유사 문자열이 시스템 로그에 기록될 경우 경보를 발생시킨다.

• 즉시 조치

  • 방화벽·IPS 정책으로 해당 undocumented endpoint 차단하거나, 전체 관리 API에 IP‑기반 접근 제어 적용한다.
  • 현재 운영 중인 버전에서 설정 파일을 검토하고, 가능하면 로그 레벨 변경 기능을 비활성화 후 서비스 재시작한다.

• 근본 해결

  • 공급업체가 제공하는 보안 패치가 발표될 때까지 해당 시스템을 제한된 네트워크 구역에만 배치한다.
  • 모든 관리 API에 강제 인증(TLS‑client cert, 기본 auth)과 최소 권한 원칙을 적용하고, CSRF‑Token이 필요하다면 SameSite=Lax/Strict 로 설정하여 내부 서비스 간 신뢰 관계를 최소화한다.

EPSS 0.00269(실측 악용 예측)은 현재 악용 사례가 드물지만, CVSS 5.3·무인증·네트워크 직접 접근 가능성을 고려하면 이번 주 내 대응이 권고된다([우선순위 결정]에 근거). 다중 소스 교차검증에서 일관된 정보임을 명시한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=5.3 · non-KEV · EPSS=0.00269 · exploit=moderate · in_scope=None