[공격] 분석 — CVE-2026-16812

• 심각도 critical · CVSS 10.0 · EPSS 0.00884 · 악용난이도 easy · KEV

• 공격 표면: VCO 온프레미스 배포에서 내부 전용으로 설계된 관리 API(예: /api/v1/internal/execute, /admin/runCommand 등)가 네트워크에 노출돼 있음. 파라미터 값이 그대로 쉘 명령어로 전달되는 구조이며, 인증·세션 검증이 전혀 수행되지 않음.
• 정찰: 공격자는 포트 스캔(주로 443/8443) 후 HTTP(S) 핸드셰이크를 통해 제품 버전 정보를 확인하고, 취약 버전(5.2.0‑5.2.3.14, 6.1.0‑6.1.3.4, 6.4.0‑6.4.2.4) 여부를 판별함.
• 초기 접근: AV:N / PR:N 조건을 만족하는 단순 HTTP POST 요청을 전송한다. 요청 본문에 쉘 메타문자(;, &&, ` 등)를 포함한 악의적 페이로드를 삽입하면, 해당 파라미터가 내부 함수에서 system() 혹은 유사 호출로 전달되어 바로 실행된다.
• 실행·권한 획득: 내부 API는 VCO 호스트 내 루트 권한으로 동작하므로, 성공 시 공격자는 시스템 전체에 대한 root 쉘을 확보한다 (S:C).
• 지속: 확보된 셸을 이용해 백도어(예: systemd 서비스, cron 작업) 혹은 새로운 관리자 계정을 생성하여 지속성을 확보한다.
• 영향: 기밀 데이터 탈취·변조·삭제와 함께 VCO 전체 서비스 중단이 가능하다 (C:H/I:H/A:H).

CVSS 벡터(AV:N/AC:L/PR:N/UI:N/S:C) ↔ 실제 공격 조건은 “네트워크에서 인증 없이 바로 호출 가능한 내부 API”이며, 이는 공격자가 별도 사전 준비 없이 즉시 이용할 수 있음을 의미한다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 표시되므로 공격자는 네트워크 상에서 별도의 인증이나 사용자의 개입 없이 단순한 요청만으로 악용할 수 있습니다. 공격 표면은 VeloCloud Orchestrator 내부 전용 API 엔드포인트이며, 해당 엔드포인트가 외부에 노출돼 있기 때문에 원격에서 직접 접근이 가능합니다. EPSS 값 0.00884(≈0.884%)는 향후 12개월 내 실제 악용 가능성이 존재함을 의미하고, KEV 목록에 등재된 점은 이미 실전에서 공격자에 의해 활용되고 있음을 확인시켜 줍니다. 따라서 “난이도·악용 가능성”은 ‘easy’ 로 평가되며, 공격자는 네트워크 연결만 확보하면 별도의 사전 단계 없이 바로 권한 상승 및 서비스 중단을 시도할 수 있습니다. 공격 흐름은 정찰 단계에서 해당 엔드포인트를 탐지하고, 단일 HTTP 요청으로 내부 기능에 접근·조작함으로써 기밀성·무결성·가용성을 동시에 위협하게 됩니다.

• 기밀성: VCO가 관리하는 모든 고객 네트워크 설정·키 정보가 노출된다.
• 무결성: 공격자는 정책 파일·데이터베이스를 임의로 수정하거나 삭제할 수 있다.
• 가용성: 루트 권한 셸을 통해 서비스 프로세스를 중단하거나 시스템 전체를 마비시킬 수 있다.

• CWE‑78 (OS Command Injection): 파라미터 값이 검증 없이 OS 명령어로 전달되는 전형적인 패턴.
• 추정: 내부 API가 외부에서 호출 가능하도록 설계된 점은 인증 우회(Unauthenticated Access)와 결합돼, 동일 네트워크 내 다른 서비스에 대한 SSRF‑RCE 체인을 구성할 수 있다. 예를 들어, 공격자가 이미 확보한 내부 토큰을 이용해 다른 마이크로서비스의 관리 API를 호출하고, 그 결과 또다른 명령 실행 취약점으로 이어지는 시나리오가 가능하다.

• 네트워크: VCO 관리 포트(443/8443) 향한 비정상적인 POST 요청 로그에 쉘 메타문자(;, &&, ` 등)가 포함된 경우 경보 생성.
• 호스트: VCO 프로세스(java 혹은 python)가 /bin/sh -c 형태의 명령을 실행한 흔적(시스템 콜, auditd 로그) 감지.
• 애플리케이션: API 응답에 비정상적인 스택 트레이스·오류 메시지가 포함된 경우와, 신규 관리자 계정 생성 이벤트를 모니터링한다.

1. 즉시 차단: 방화벽/ACL로 해당 내부 관리 API 엔드포인트에 대한 외부 접근을 차단하고, 필요 시 IP 화이트리스트만 허용한다.
2. WAF/IPS 규칙 적용: 요청 본문에 쉘 메타문자가 포함된 경우 403 응답으로 차단하는 서명(rule) 배포.
3. 패치 적용: Arista에서 제공한 최신 VCO 패치를 24 시간 이내에 전부 적용한다(이미 Hosted/Dedicated 버전은 사전 패치됨).
4. 임시 방어 레이어: API 진입점에 nonce 검증 로직을 삽입하거나, 요청 헤더에 인증 토큰이 반드시 존재하도록 강제한다.
5. 모니터링 강화: 신규 관리자 계정·백도어 파일·비정상적인 프로세스 생성 알림을 실시간으로 수집한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.00884 · exploit=easy · in_scope=None