[공격] 분석 — CVE-2026-10763

• 심각도 미상 · CVSS 미상 · EPSS 0.00347 · 악용난이도 hard

(1) 트리거 조건: PROMOD V 클라이언트와 3rd party Digipede 서버 간의 통신이 HTTPS가 아닌 평문 HTTP를 사용함. 공격자가 해당 네트워크 경로 상에서 패킷을 가로챌 수 있는 위치(MitM)에 있을 때 트리거됨.

(2) 공격 단계:

• 정찰: 대상 네트워크 내 PROMOD V 사용자의 트래픽 분석 및 Digipede 서버로 향하는 HTTP 포트(TCP 80 추정) 통신 확인.
• 트리거: ARP Spoofing 또는 DNS Poisoning을 통해 클라이언트와 서버 사이의 트래픽을 공격자 장비로 유도.
• 실행·권한 획득: 평문으로 전송되는 인증 정보, 세션 토큰 또는 업데이트 파일을 가로채거나(Sniffing), 변조된 응답 값을 주입하여 클라이언트 측에 악성 명령/파일 전달.
• 후속 피벗: 탈취한 계정 정보를 이용해 Digipede 서버 내 다른 자원에 접근하거나, 변조된 업데이트를 통해 PROMOD V가 설치된 엔드포인트 장비의 제어권 획득 시도.

(3) 공격 표면:

• 프로토콜: HTTP (Cleartext)
• 엔드포인트: PROMOD V $\leftrightarrow$ Digipede Server 간 통신 구간 전체.

(4) CVSS 벡터 연결(추정):

• AV (Attack Vector): Network/Adjacent (네트워크 경로 제어 필요).
• AC (Attack Complexity): High (MitM 환경 구축 및 트래픽 가로채기 전제).
• PR (Privileges Required): None (통신 자체의 결함).
• UI (User Interaction): None.

악용 가능성: 공격 난이도 및 악용 가능성

본 취약점은 AV:N/AC:H 특성을 가지며, 공격자가 타겟과 서버 사이의 네트워크 경로 상에서 트래픽을 가로챌 수 있는 Man-in-the-Middle (MitM) 위치를 확보해야 하므로 공격 난이도는 Hard로 판정됩니다. EPSS 수치가 0.00347로 낮고 KEV에 등재되지 않은 이유는 특정 서드파티 서버(Digipede server)와의 통신 구간이라는 제한적인 환경 때문이며, 일반적인 웹 취약점처럼 원격에서 즉시 트리거되는 형태가 아니기 때문입니다. 하지만 HTTPS 미적용으로 인해 HTTP 프로토콜을 통한 평문 통신이 이루어지므로, 내부망 침투 후 스니핑이 가능한 공격자에게는 매우 치명적인 경로가 됩니다. 주요 공격 표면은 PROMOD V 클라이언트와 Digipede server 간의 모든 HTTP 엔드포인트 및 데이터 교환 파라미터입니다.

공격 기법 (Attack Vector)

1. 전제조건 및 정찰: 공격자는 타겟 디바이스가 Digipede server에 접속하는 네트워크 경로(Gateway, ARP Spoofing 가능 구간 등)를 장악해야 합니다. 이후 HTTP 트래픽을 모니터링하여 통신 주기와 전송되는 데이터 패킷의 구조를 분석합니다.
2. 트리거 및 실행: HTTPS 암호화가 없으므로 공격자는 Packet Sniffing을 통해 인증 토큰, 세션 ID 또는 설정 파일과 같은 민감 정보를 평문으로 탈취할 수 있습니다. 더 나아가 HTTP Response Manipulation을 통해 서버의 응답 값을 변조하여 클라이언트에 악성 페이로드를 주입하거나 잘못된 설정을 강제하는 방식으로 트리거합니다.
3. 권한 획득 및 후속 피벗: 탈취한 인증 정보를 이용해 서버 측에 권한 없는 요청을 보내거나, 변조된 응답을 통해 클라이언트 측에서 원격 코드 실행(RCE) 또는 설정 변경을 유도하여 시스템 제어권을 획득합니다. 이렇게 확보된 엔드포인트 권한은 내부망의 다른 자산으로 이동하기 위한 Lateral Movement 및 피벗팅의 교두보로 활용될 가능성이 높습니다.
4. 체이닝 가능성: 단순 정보 유출에 그치지 않고, 탈취한 세션 정보를 이용해 서버 내의 다른 API 취약점과 체이닝하거나 클라이언트의 업데이트 메커니즘을 하이재킹하는 공격으로 확장될 수 있습니다.

(1) 로그 지표: 네트워크 방화벽 또는 IDS/IPS 로그에서 PROMOD V 클라이언트 IP가 외부 Digipede 서버로 HTTP(TCP 80) 요청을 보내는 패턴 확인.

(2) 탐지 규칙 예시:

• 정규식 (HTTP Host 헤더 기반): Host: .*digipede.* (포트 80 기준)
• SIEM 로직: SELECT * FROM network_logs WHERE dest_port = 80 AND (dest_ip IN (Digipede_Server_IPs) OR http_host LIKE '%digipede%')

(3) 오탐 가능성: 정상적인 업데이트 확인 과정에서 발생하는 트래픽임. 이를 줄이기 위해 PROMOD V가 설치되지 않은 자산에서의 통신은 제외하고, 특정 시간대에 집중되는 대량의 HTTP 요청이나 비정상적인 응답 크기 변화를 추적함.

• 즉시(긴급 차단): 네트워크 ACL을 통해 신뢰할 수 없는 구간에서 Digipede 서버로 향하는 HTTP(TCP 80) 트래픽을 차단하거나, VPN/SSH 터널링을 강제하여 통신 경로를 암호화함. (트레이드오프: 설정 복잡도 증가 및 일부 기능 작동 불가 가능성)
• 단기(완화): 호스트 기반 방화벽에서 허용된 특정 IP 주소와의 통신만 허용하도록 화이트리스트를 적용하여 MitM 공격 범위를 축소함. (트레이드오프: 서버 IP 변경 시 관리 공수 발생)
• 근본(해결): Digipede 서버 및 PROMOD V 클라이언트가 HTTPS(TLS)를 지원하는 최신 버전으로 업데이트되어야 함. (트레이드오프: 3rd party 제공자의 패치 배포 시점까지 대기 필요)

[분석 근거]
본 리포트는 다중 소스에서 'HTTP 사용'이라는 일관된 취약점이 확인되었습니다. 실측 EPSS 값은 0.00347(백분위 0.26764)로 매우 낮으며, 이는 이론적 위험과 별개로 실제 야생에서의 악용 가능성이 극히 희박함을 의미합니다. 또한 KEV 미등재 및 exploit 등급이 'hard'인 점을 고려하여, 규칙 기반 우선순위에 따라 즉각적인 패치보다는 'monitor(모니터링)' 수준의 대응으로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00347 · exploit=hard · in_scope=None