[분석가] 분석 — CVE-2026-9777

• 심각도 high · CVSS 7.2 · EPSS 0.01477 · 악용난이도 hard

인증된 사용자가 restoreDB API에 파일 경로 파라미터를 전달하면, 입력값 검증이 누락돼 ../… 와 같은 디렉터리 트래버스 문자열이 그대로 파일 시스템 호출에 사용됩니다. 조작된 경로가 SYSTEM 권한을 가진 프로세스의 작업 디렉터리(예: C:\Program Files\ATEN\Unizon\) 아래에 악성 스크립트나 실행 파일을 덮어쓰게 되면, 해당 파일이 서비스 재시작 혹은 자동 로드 시점에 SYSTEM 권한으로 실행되어 원격 코드 실행(RCE)이 완성됩니다.
CVSS 벡터 AV:N/AC:L/PR:H/UI:N 에서 알 수 있듯, 네트워크를 통한 직접 접근은 가능하지만 인증(관리자 수준) 없이는 악용이 불가능합니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:H/UI:N은 네트워크를 통해 접근 가능하고 공격 복잡도는 낮지만, 성공하려면 높은 권한(인증된 관리자 계정)이 필요함을 의미합니다. 따라서 원격에서 인증 정보를 보유한 공격자만이 취약한 restoreDB 메서드를 호출할 수 있어 난이도가 “hard”로 평가됩니다. EPSS 0.01477은 약 1.5% 수준의 실제 악용 가능성을 나타내며, KEV에 등재되지 않은 점은 현재 공개된 활발한 악용 사례가 없음을 보여줍니다. 공격 표면은 ATEN Unizon 관리 인터페이스에서 노출되는 restoreDB 엔드포인트이며, 사용자‑제공 경로 파라미터를 파일 작업에 그대로 사용합니다. 이 파라미터는 인증된 사용자에게만 제공되므로 비인가 접근 자체는 차단되지만, 인증 정보를 탈취한 경우 SYSTEM 권한으로 임의 코드를 실행할 수 있습니다.

• 기술적 위험
  • 성공 시 공격자는 SYSTEM 권한으로 임의 코드를 실행해 서버 전체 장악·추가 악성 모듈 설치·시스템 설정 및 로그 변조가 가능함.
  • 파일 시스템에 쓰여진 악성 파일은 서비스 재시작 시 자동 실행되므로 지속적인 침투가 유지될 수 있음.
• 비즈니스 리스크
  • 핵심 영상·감시 서비스 중단으로 가용성 저하 및 SLA 위반 위험.
  • 무결성 손상·민감 데이터 유출 가능성이 있어 개인정보보호법·산업안전 규정 위반 시 과태료·법적 책임이 발생할 수 있음.
  • 고객 신뢰도 하락 및 브랜드 이미지 손상이 예상됨.
• 영향 제품·노출 규모
  • ATEN Unizon 버전 2.7.264 미만을 운영 중인 모든 조직이 대상이며, 해당 제품을 다수 배포하는 기업 환경(예: 데이터센터, 공장, 교육기관)에서 광범위하게 노출될 수 있음.
  • 교차검증 결과([교차검증])에 따라 다중 소스에서 일관된 취약점 존재가 확인되었습니다.

• 동일 제품 내 파일 업로드/경로 검증 부재와 결합하면, 악성 파일을 먼저 업로드하고 restoreDB 트래버스로 해당 파일을 시스템 디렉터리로 이동시켜 실행하는 파일 업로드 + 디렉터리 트래버스 체인이 가능할 수 있습니다.
• CWE‑22(Directory Traversal)와 연계된 권한 상승(CWE‑269) 패턴이 존재하므로, 다른 권한 상승 취약점과 결합될 경우 횡적 이동 위험이 증가합니다.

• 웹 서버·애플리케이션 로그에서 restoreDB 호출 시 "../" 혹은 URL‑encoded %2e%2e%2f 가 포함된 요청을 식별. 예시 정규식: (?i)restoreDB.*(\.\./|\%2e\%2e/).
• 파일 무결성/감사 로그(Sysmon, auditd 등)에서 SYSTEM 계정이 비정상적인 경로(예: C:\Windows\System32\…)에 신규 실행 파일을 생성하거나 수정한 이벤트.
• 프로세스 모니터링에서 atenunizon.exe(또는 해당 서비스)가 비정규 명령줄 인자(--restore-path …)와 함께 시작되는 경우.

1. 즉시 조치
   • 인증된 사용자에 대해 최소 권한 원칙을 적용하고, 불필요한 restoreDB API 접근을 차단합니다.
   • WAF/IPS에서 경로 트래버스 문자열(../, %2e%2e/)을 차단하고, 해당 엔드포인트에 IP·네트워크 기반 제한 정책을 적용합니다.
2. 근본 해결
   • ATEN이 제공하는 최신 보안 업데이트(버전 ≥ 2.7.264)를 즉시 배포합니다.
   • 애플리케이션 레벨에서 입력값 정규화·절대 경로 화이트리스트 검증을 구현하고, 파일 시스템 접근 권한을 최소화합니다.
3. 추가 방어
   • 파일 무결성 모니터링 및 실시간 알림 체계를 도입해 SYSTEM 계정의 비정상적인 파일 쓰기를 감지합니다.
   • 정기적인 취약점 스캔·침투 테스트로 동일 패턴 재발 여부를 검증하고, 로그 기반 탐지 룰을 지속적으로 튜닝합니다.

우선순위 판단 근거: CVSS 7.2·EPSS 0.01477(백분위 71.3%)·악용 난이도 hard·KEV 미등재에 따라 이번 주 내 scheduled 로 지정되었습니다([우선순위 결정]). EPSS 수치는 현재 관측된 악용 사례가 거의 없음을 의미하지만, 상대적 백분위가 높아 신속한 대응이 권장됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.2 · non-KEV · EPSS=0.01477 · exploit=hard · in_scope=None