[분석가] 분석 — CVE-2026-9778

• 심각도 high · CVSS 7.2 · EPSS 0.01477 · 악용난이도 hard

• 인증된 사용자가 ImportDeviceList API에 조작된 파일 경로(예: ../../..)를 전달합니다.
• 서버가 해당 경로 검증 없이 파일을 열·쓰기 때문에 임의 파일이 시스템 디렉터리에 작성됩니다.
• 작성된 파일에 악성 코드를 삽입하면 SYSTEM 권한으로 실행되어 원격 명령 수행이 가능합니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:H/UI:N는 네트워크를 통해 접근 가능하지만 고권한(관리자) 인증이 반드시 필요함을 의미하므로, 공격자는 먼저 유효한 관리자 계정을 확보해야 합니다. 인증이 충족되면 복잡도는 낮아져 간단히 파일‑경로 파라미터만 조작하면 되므로 실제 공격 단계는 비교적 단순합니다. EPSS 0.01477(≈1.5 %)은 현재 이 취약점이 실전에서 활용될 확률이 낮으며, KEV에 등재되지 않아 야생 악용 사례가 보고되지 않았음을 보여줍니다. 노출된 공격 표면은 ATEN Unizon의 ImportDeviceList API 엔드포인트이며, 사용자 입력 경로를 검증하지 않는 파일 작업 로직이 핵심 취약점입니다. 해당 HTTP/HTTPS 관리 인터페이스에 접근 가능한 공격자는 조작된 경로를 전달함으로써 SYSTEM 권한으로 원격 코드 실행을 달성할 수 있습니다. 따라서 인증 필요성과 현재 관측된 악용 부족을 고려했을 때, 전반적인 난이도는 “hard” 수준으로 평가됩니다.

• 기술적 위험
  • 성공 시 공격자는 SYSTEM 수준에서 코드 실행 → 전체 서버 장악·임의 서비스 설치·백도어 심기.
  • 파일 시스템에 임의 파일을 남길 수 있어 지속성 확보가 용이합니다.
  • 권한 상승 후 동일 네트워크 내 다른 호스트로 이동(횡적 이동) 가능성이 존재합니다.
• 비즈니스 위험
  • 기밀 데이터 유출·시스템 무결성 손상 → 규제·컴플라이언스 위반 위험 (예: 개인정보보호법).
  • 서비스 중단이나 비정상적인 프로세스 실행으로 인한 가용성 저하.
  • 브랜드 신뢰도 하락 및 사고 대응 비용 증가.
• 영향 범위
  • ATEN Unizon 버전 2.7.264 미만 전부가 대상이며, 해당 제품을 운영 중인 조직이 모두 노출됩니다.
  • 교차검증 결과(다중 소스에서 일관성이 확인됐다) [교차검증]에 따라 취약성 존재가 확정되었습니다.

• CWE‑22 (Path Traversal)와 동일한 입력 검증 부재 패턴을 공유합니다.
• 파일 쓰기 권한이 있는 다른 서비스와 연계하면 추가적인 권한 상승이나 크리덴셜 탈취가 가능할 수 있습니다(구체적 CVE 번호는 확인되지 않음).

• 웹 서버/애플리케이션 로그에서 ImportDeviceList 요청에 ../ 혹은 %2e%2e%2f 같은 문자열이 포함된 경우.
• 파일 시스템 감시: 비정상적인 경로(예: C:\Windows\System32\*)에 신규 파일 생성 이벤트.
• 프로세스 모니터링: SYSTEM 계정으로 실행되는 새로운 cmd.exe, powershell.exe 등.

• 즉시 조치 : 방화벽 또는 WAF에서 ImportDeviceList 엔드포인트를 차단하고, 의심 경로 문자열을 필터링합니다.
• 근본 해결 : ATEN이 제공하는 최신 패치를 적용하여 입력 검증 로직을 강화합니다(버전 ≥ 2.7.264).
• 추가 방어 : 최소 권한 원칙에 따라 서비스 계정 권한을 제한하고, 파일 시스템 감시 및 로그 분석을 자동화합니다.

우선순위 판단: CVSS 7.2·비 KEV·EPSS 0.01477·exploit hard·이번 주 내 대응(스케줄) [우선순위 결정]에 따라 이번 주 안에 패치 적용 또는 차단 조치를 완료하는 것이 권장됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.2 · non-KEV · EPSS=0.01477 · exploit=hard · in_scope=None