[공격] 분석 — CVE-2026-7891

• 심각도 critical · CVSS 9.1 · EPSS 0.00273 · 악용난이도 moderate

• 정찰

  • 공개된 Mendix 애플리케이션 URL을 통해 OData/REST 엔드포인트(*/rest/System/User* 혹은 */odata/v1/System/User*)를 자동화 스캐너 또는 브라우저 개발자 도구로 탐색.
    관측 지표: 200 OK 응답에 JSON 형태의 메타데이터가 포함된 경우, 엔드포인트 존재 확인.

• 초기 접근

  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N 에 따라 인증·세션 없이 HTTP GET 요청을 전송.
  • 과도하게 허용된 Mendix Access Rule(“Everyone” 또는 “Anonymous”)가 적용돼 응답에 모든 사용자 레코드가 반환됨.

• 실행·권한 획득

  • 반환된 System.User 객체에는 이메일, 암호 해시, 권한 플래그 등 민감 정보가 포함될 수 있음 → 기밀성(C:H) 및 권한 상승(I:H) 달성.
  • 만약 Write 권한도 “Everyone”에 부여돼 있다면 POST/PUT 요청으로 임의 사용자 생성·비밀번호 재설정이 가능해 지속적 접근 확보.

• 지속

  • 새로 만든 관리 계정을 이용해 정규 세션 쿠키를 획득하거나, 기존 사용자의 인증 토큰을 탈취 후 장기 세션 유지.

• 영향

  • 전체 사용자 데이터 유출 → GDPR·개인정보보호법 위반 위험.
  • 관리자 권한 확보 시 애플리케이션 로직 변조·데이터 파괴 가능.

전제 조건: 대상 Mendix 앱이 System.User 엔티티에 대해 “Everyone” 혹은 “Anonymous” 접근 규칙을 잘못 설정했음. 해당 전제가 없으면 네트워크 차단 수준에서 공격이 불가능함(추정).

악용 가능성: 이 취약점은 AV:N·AC:L·PR:N·UI:N 벡터를 갖는 moderate 등급으로, 네트워크를 통해 직접 접근하면 별도의 권한이나 사용자 상호작용 없이도 공격을 수행할 수 있음을 의미합니다. 실제로는 Mendix Runtime이 제공하는 기본 REST/OData 엔드포인트(예: /​api/system/user)와 같은 공개된 HTTP(S) 인터페이스가 공격 표면이며, entity‑id 또는 filter 파라미터만 조작하면 System.User 레코드를 조회·수정할 수 있습니다. 문서에 System.User의 특수 동작이 명시되지 않아 개발자가 접근 규칙을 과도하게 완화하는 경우가 흔히 발생하므로, 잘못 설정된 애플리케이션은 인증 없이 사용자 속성 전체를 노출하거나 권한 상승을 가능하게 합니다. EPSS 0.00273이라는 수치는 현재 실제 악용 사례가 드물지만(KEV 미등재), 문서 결함으로 인한 구성 오류는 언제든지 발생할 수 있는 실질적인 위협 요인입니다. 공격자는 먼저 대상 Mendix 애플리케이션의 엔드포인트를 탐색하고, 접근 규칙이 누락된 System.User 엔티티에 대해 무조건 GET/POST 요청을 전송함으로써 초기 진입을 확보합니다. 이후 반환된 사용자 데이터나 권한 정보를 이용해 추가 마이크로플로나 커스텀 API 호출을 연계하면, 애플리케이션 내에서 관리자 수준의 기능까지 확대될 수 있습니다.

• 기밀성 손실: 모든 사용자 프로필, 인증 정보, 권한 레벨이 외부에 노출.
• 무결성·권한 상승: 악의적 사용자가 관리자를 가장해 데이터 수정·삭제 혹은 추가 마이크로플로우 실행 가능.
• 규제 위반: 개인정보 대량 유출 시 법적 제재 및 평판 손실 발생.

• 과도한 권한 부여(권한 상승 패턴) → System.User 노출 → 관리자 계정 탈취 → 내부 서비스에 대한 추가 침투.
• 인증 우회: 인증 없이 엔드포인트 접근이 가능하므로, 기존 세션 고정·CSRF 방어 메커니즘을 회피할 수 있음.
• 추정: 다른 Mendix 플랫폼 취약점(예: 미공개 마이크로플로우 인젝션)과 결합하면 원격 코드 실행(RCE)까지 이어질 가능성이 존재함.

• 로그 패턴: GET /rest/System/User 혹은 /odata/.../System/User 요청이 인증 쿠키 없이 발생한 경우.
• 빈도 이상 징후: 동일 IP·User‑Agent에서 단시간에 다수 레코드 반환(>10 KB) 응답을 받는 경우.
• WAF 알림: System.User 엔터티 접근 시 HTTP 200+JSON 응답이 발생하면 경보 트리거.

1. 즉시 조치

   • Mendix 콘솔에서 System.User 엔티티에 대한 “Everyone/Anonymous” 접근 규칙을 제거하고, 최소 권한(예: 관리자 전용)만 허용.
   • 외부 네트워크에서 /rest/System/User* 및 OData 경로에 대해 인증이 없으면 차단하도록 방화벽·WAF 정책 적용.

2. 근본 해결

   • Mendix Runtime 최신 버전(공식 패치) 적용 여부 확인 후 업데이트.
   • 개발 가이드라인에 System.User 엔터티 권한 설정 절차를 명시하고, CI/CD 파이프라인에서 접근 규칙 검증 스크립트를 추가.

3. 추가 방어

   • CSRF 토큰 검증을 모든 상태 변이 요청에 강제 적용(특히 POST/PUT).
   • 엔드포인트 별 Rate‑Limit 설정 및 비정상 트래픽 감지 로직 강화.

우선순위 근거: 다중 소스 교차검증 결과 일관된 위험도(CVSS 9.1)와 EPSS 0.00273(실제 악용 가능성은 낮지만 중간 수준)으로 이번 주 내 ‘scheduled’ 대응이 권고됨. KEV 미등재이지만 CVSS·EPSS·exploit moderate 조합이 높은 응답성을 요구한다는 규칙 기반 판단에 따라 즉시 실행해야 함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.1 · non-KEV · EPSS=0.00273 · exploit=moderate · in_scope=None