[단독분석] 분석 — CVE-2026-18274

• 심각도 high · CVSS 7.2 · EPSS 0.01295 · 악용난이도 hard

인증된 사용자가 uploadJar API에 파일 경로를 지정할 때 입력값 검증이 누락되어 있다.
공격자는 경로 탐색 문자열(../)을 포함한 파라미터를 전송하면, 프록시가 해당 경로의 파일 시스템에 접근해 임의의 JAR 를 배치하고 이를 로드한다. 로드된 JAR 가 루트 권한으로 실행되어 원격 코드 실행(RCE)까지 이어진다. 인증이 필요하므로 공격자는 유효한 계정(예: 탈취·내부자)을 전제로 한다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 접근 가능하지만(AV:N), 공격을 수행하려면 높은 권한의 인증 계정이 필요합니다(PR:H). 따라서 인증 정보를 탈취하거나 내부 사용자가 악용할 경우, 복잡도는 낮아(AC:L) 바로 파일 경로를 조작해 루트 권한으로 코드를 실행할 수 있습니다. EPSS 점수 0.01295는 현재 실제 공격이 발생할 확률이 낮음을 의미하지만, 인증이 전제된 환경에서는 여전히 현실적인 위협 요인으로 작용합니다. KEV 목록에 등재되지 않아 야생 악용 사례가 보고되지 않았지만, ZDI‑CAN‑28603과 같은 연구에서 이미 원격 코드 실행 가능성이 확인되었습니다. 공격 표면은 Heimdall Data Database Proxy의 uploadJar API와 해당 경로 파라미터이며, 이 엔드포인트가 외부에 노출될 경우 디렉터리 트래버설을 통한 JAR 파일 업로드가 직접적인 진입점이 됩니다. 따라서 인증 정보를 확보한 공격자는 비교적 낮은 난이도로 루트 권한 코드를 실행할 수 있는 환경이 조성됩니다.

• 기술적 위험
  • 파일 시스템 경로 우회 → 임의 JAR 배치 → 루트 권한 프로세스 실행
  • 전체 시스템 장악, 민감 데이터 접근·유출, 서비스 중단, 추가 악성 코드 설치 및 횡적 이동 가능
• 비즈니스 리스크
  • 가용성 손실(서비스 다운타임) 및 복구 비용 증가
  • 규제·컴플라이언스 위반 위험(데이터 유출 시 개인정보 보호법 등)
  • 고객 신뢰도 저하 및 브랜드 평판 훼손
• 영향 제품·노출 규모
  • 영향을 받는 정확한 제품 버전은 공개되지 않았으나, Heimdall Data Database Proxy를 운영하는 모든 인스턴스가 대상이다.
  • 인증이 전제되므로 내부 네트워크 혹은 외부에서 계정 탈취가 가능한 환경이면 공격 표면이 확대된다.

• 유형: Path‑Traversal (CWE‑22) → 파일 시스템 우회 → 임의 코드 실행 (CWE‑94)
• 추정: 동일한 서비스 내 다른 업로드 엔드포인트가 존재한다면, 파일 무결성 검증 부재와 결합해 추가적인 RCE 또는 서비스 거부(DoS)를 유발할 수 있다.

• uploadJar 호출 시 전달되는 경로 파라미터에 ../ 혹은 URL‑인코딩된 디렉터리 탐색 문자열이 포함된 로그 이벤트
  • 예시 정규식: (?i)uploadJar.*(\.\./|%2e%2e%2f)
• 루트 권한으로 실행되는 새로운 JAR 프로세스 생성 기록(프로세스 감시, auditd 등)
• 비정상적인 파일 쓰기 이벤트가 /opt/heimdall/... 같은 프록시 설치 디렉터리에서 발생했을 경우

1. 즉시 조치
   • uploadJar 기능에 경로 화이트리스트 적용·../ 등 탐색 문자열 차단
   • 해당 API 접근 권한을 최소 권한 계정으로 제한하고, 다중 인증(MFA) 도입
   • 의심스러운 파일 업로드 및 실행 로그를 실시간 모니터링하고 알림 설정
2. 근본 해결
   • 공급업체가 제공하는 패치/업데이트가 릴리스되면 즉시 적용
   • 서비스 컨테이너화·파일 시스템 격리 등 최소 권한 원칙을 적용하여 루트 실행 위험 감소
   • 정기적인 코드 리뷰와 입력 검증 테스트를 수행해 유사 취약점 재발 방지

본 보고서는 다중 소스 교차검증(신뢰도 1.0)·실측 EPSS 조회(EPSS = 0.01295, 백분위 0.68437)·규칙 기반 우선순위 결정(고 CVSS 7.2·비‑KEV·hard exploit) 절차를 통해 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.2 · non-KEV · EPSS=0.01295 · exploit=hard · in_scope=None