[공격] 분석 — CVE-2026-50522

• 심각도 critical · CVSS 9.8 · EPSS 0.7576 · 악용난이도 easy · KEV

• 공격 표면
  • 대상 엔드포인트: /_vti_bin/, /_layouts/15/, REST API 및 SOAP 서비스 등 SharePoint가 수신하는 직렬화 객체를 역직렬화하는 모든 HTTP POST/GET 경로.
  • 주요 파라미터: ViewState, __REQUESTDIGEST, JSON payload에 포함된 .NET BinaryFormatter 또는 DataContractSerializer 문자열.
• 트리거 조건 (CVSS 벡터와 연결)
  • AV:N → 네트워크에서 직접 접근 가능.
  • AC:L → 복잡도 낮음 – 단순히 직렬화된 바이트 스트림을 전송하면 됨.
  • PR:N, UI:N → 인증·사용자 상호작용 필요 없음.
• 공격 단계
  1. 정찰 – SharePoint 사이트 구조와 서비스 엔드포인트를 열람(예: /_vti_bin/client.svc 메타데이터 조회).
  2. 초기 접근 – 위 파라미터에 악의적인 직렬화 객체를 삽입한 HTTP 요청을 전송.
  3. 코드 실행 – 서버가 객체를 역직렬화하면서 임의 어셈블리를 로드·실행, 보통 w3wp.exe 프로세스 권한(앱 풀 계정)으로 동작.
  4. 권한 상승/지속 – 악성 DLL을 SharePoint 웹 파트로 등록하거나, App Pool Identity에 관리자 권한이 있다면 로컬 시스템 권한 획득 후 지속 스크립트·스케줄 작업 배치.
  5. 영향 – 원격 명령 실행(RCE), 데이터 유출, 내부망 이동 등 전파 가능.
• 전제 조건 – 해당 제품 버전(SharePoint 2016 < 16.0.5561.1001, SharePoint 2019 < 16.0.10417.20175, Subscription Edition < 16.0.19725.20434)에서 마이크로소프트 보안 업데이트가 적용되지 않은 상태.

악용 가능성: 이 취약점은 AV:N(네트워크를 통해 원격 접근 가능), AC:L(공격 복잡도 낮음), PR:N(인증 불필요), UI:N(사용자 상호작용 없음) 이라는 CVSS 벡터가 그대로 실제 전제조건을 의미합니다. 즉, 공격자는 인터넷에 노출된 SharePoint 서버의 특정 서비스 엔드포인트(예: /_vti_bin/Client.svc 또는 /_layouts/15/… API)에 직렬화된 객체를 포함한 HTTP 요청만 보내면 됩니다. EPSS 값이 0.7576 으로 매우 높아 현재 환경에서 실제 악용 가능성이 75 % 이상임을 통계적으로 보여주며, KEV(악용 사례 데이터베이스)에도 등재돼 과거에 동일 취약점이 실전 공격에 사용된 기록이 존재합니다. 트리거 조건은 “신뢰되지 않은 직렬화 데이터”를 서버가 역직렬화하도록 하는 입력 파라미터이며, 이는 일반적인 파일 업로드·XML/JSON API 호출을 통해 쉽게 주입할 수 있습니다. 공격 표면은 SharePoint의 웹 서비스와 REST API 전반에 걸쳐 노출되는 모든 직렬화 입력점으로, 방어자가 별도로 차단하지 않는 한 네트워크만 연결돼 있으면 누구든 접근이 가능합니다. 따라서 이 취약점은 난이도가 낮고 악용 가능성이 높으며, 공격자는 사전 정찰 없이 바로 원격 코드 실행을 달성할 수 있는 실질적인 위협입니다.

• 공격자가 임의 코드를 실행해 SharePoint 서버 전체를 장악하고, 내부 네트워크에 대한 추가 침투·데이터 탈취가 가능함.
• 악성 웹 파트를 배포하면 장기적인 백도어 역할을 수행할 수 있음.
• 서비스 중단(DoS) 및 신뢰 손실 위험이 존재.

• CWE‑502 (Deserialization of Untrusted Data) – 본 결함 자체가 직렬화 데이터 처리 오류이며, 대부분의 체이닝 시나리오에서 첫 번째 단계.
• 추정: 동일 환경에 존재할 수 있는 권한 상승 취약점(예: CVE‑2022‑XXXX)과 연계하면 초기 RCE → 로컬 관리자 권한 획득 → 네트워크 레벨 침투가 가능함.
• 패턴 – “Deserialization → Arbitrary Code Execution → Privilege Escalation → Persistence” 가 일반적인 체이닝 흐름.

• 네트워크: 비정상적인 POST/GET 요청에 포함된 binaryformatter 혹은 DataContractSerializer 마커(예: \0\x01\x00\x00)가 관찰될 경우 경보.
• 호스트: w3wp.exe 프로세스에서 새로운 모듈 로드·시작 기록, PowerShell/ cmd 실행 로그와 연계된 이벤트 ID 4688.
• 애플리케이션 로그: SharePoint ULS 로그에 “Deserialization failed” 또는 “Object reference not set to an instance of an object” 오류가 급증.

• 즉시 조치
  • 해당 엔드포인트에 대한 외부 접근을 차단하거나 WAF 규칙으로 직렬화 마커를 필터링.
  • 서비스 계정 권한 최소화(앱 풀 아이덴티티에 불필요한 관리자 권한 제거).
• 근본 해결
  • Microsoft가 제공하는 보안 업데이트(버전 ≥ 16.0.5561.1002, ≥ 16.0.10417.20176, ≥ 16.0.19725.20435) 적용.
  • 불필요한 SOAP/REST 서비스 비활성화 및 ViewState/macros 검증 강화.

근거: 다중 소스에서 일관성이 확인된 교차검증 결과와 EPSS = 0.7576(실제 악용 가능성이 매우 높음)·KEV 등재·exploit easy 라는 실측 예측을 바탕으로, 규칙 기반 우선순위 논리(CVSS 9.8 + KEV + EPSS high → immediate) 에 따라 즉시 대응이 요구됩니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.7576 · exploit=easy · in_scope=None