[공격] 분석 — CVE-2026-13084

• 심각도 미상 · CVSS 미상 · EPSS 0.00495 · 악용난이도 hard

• 공격 표면
  • 프로토콜/포트: UDP 500 / UDP 4500 (IKEv2)
  • 대상 엔드포인트: Mobile User VPN (IKEv2) 및 Branch Office VPN (dynamic‑gateway peer)
  • 취약 함수(추정): IKEv2 SA 교환 중 AUTH payload 파싱 로직에서 NULL 포인터 사용 → 크래시
• 전제 조건
  • 대상 장비가 외부에 IKEv2 포트를 공개하고, 동적 게이트웨이 피어가 설정되어 있어야 함.
  • 취약 버전 확인: Fireware OS 11.10.2‑11.12.4_Update1, 12.0‑12.12, 2025.1‑2026.2 (다중 소스 교차검증 → 일관성 확보, 신뢰도 1.0).
• 단계
  1. 정찰 – UDP 500/4500 포트 스캔 후 IKEv2 핸드쉐이크 시도, Vendor ID 등에서 취약 버전 여부를 판단.
  2. 초기 접근 – 정상적인 IKE_SA_INIT 메시지를 전송하고, SA 교환 단계에서 AUTH payload를 비워 두거나 길이 0인 패킷을 삽입. 이는 NULL 포인터 역참조를 유발한다(공격자는 인증 없이 전송 가능).
  3. 실행 – 장비가 해당 메시지를 파싱하면서 커널/프로세스 크래시, 서비스 재시작 또는 응답 중단이 발생해 VPN 서비스가 마비된다 (DoS).
  4. 지속·권한 획득 – 현재 알려진 바에 따르면 추가 권한 상승은 불가능하며, 공격 효과는 가용성 파괴에 국한된다.
• CVSS 벡터(공격 조건 기반): AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H → 실제로는 정확한 패킷 구성이 필요하므로 AC는 “높음” 수준으로 해석될 수 있다.
• 추정된 고급 체인 – 동시 실행 스레드가 확인되지 않아 레이스 컨디션을 이용한 제어 흐름 탈취 가능성은 낮다(동료 의견에 근거).

악용 가능성: AV가 Network이고 AC가 High인 상황으로 보면, 공격자는 인터넷을 통해 IKEv2 포트(UDP 500/4500)까지 도달할 수 있어야 하며, 패킷 구조와 동적 게이트웨이 피어 설정에 대한 정확한 이해가 전제됩니다. PR은 None이며 UI는 None으로, 인증 절차 없이도 공격이 가능하지만 “특수하게 조작된 IKEv2 메시지”를 생성해야 하는 복잡성이 난이도를 Hard로 평가합니다. EPSS 0.00495는 현재까지 실제 악용 사례가 드물다는 것을 의미하지만, VPN 서비스 자체가 고가치 자산이기에 공격자가 목표를 정했을 경우 시도할 가능성은 완전히 배제되지 않습니다. KEV에 등재되지 않은 것은 아직 공개적으로 관찰된 대규모 공격이 없음을 나타내지만, 이는 취약점 자체의 위험성을 감소시키지는 못합니다. 공격 표면은 IKEv2 핸드쉐이크 과정에서 동적 게이트웨이 피어를 지정하는 파라미터와, 해당 파라미터가 내부적으로 null 포인터 해제로 이어지는 함수 호출에 존재합니다. 따라서 성공적인 DoS를 위해서는 공격자는 VPN 엔드포인트가 외부에 노출된 상태이며, IKEv2 트래픽을 허용하도록 구성되어 있어야 합니다.

• 성공 시 WatchGuard 방화벽의 VPN 데몬이 크래시하거나 재부팅되어 원격 근무자와 지사 간 연결이 차단된다.
• 데이터 유출·권한 상승 등 추가 위험은 존재하지 않는다 (DoS 전용).

• CWE‑476: Null Pointer Dereference – 입력 검증 부재가 직접적인 서비스 중단을 초래한다.
• 추정: 동일 장비에 메모리 손상(CWE‑119 등) 취약점이 존재할 경우, DoS 후 재시작 시 남은 메모리 상태를 이용해 권한 상승이 이론적으로 가능하나 현재 확인된 사례는 없다.
• 레이스 컨디션을 통한 제어 흐름 탈취 가능성은 단일 스레드 구현 가정 하에 낮다(동료 토론 근거).

• 네트워크: IDS/IPS에서 IKEv2 패킷 중 AUTH payload가 비어 있거나 길이가 0인 경우 경고 생성.
• 시스템 로그: vpn-auth-failure, ike daemon crashed, system reboot 등의 메시지와 동시에 다수의 IKEv2 재시도 트래픽이 포착될 때 알림.

1. 패치 적용 – WatchGuard에서 제공하는 11.12.4_Update2, 12.13, 2026.3 이상 버전으로 즉시 업그레이드 (근본 해결).
2. 입력 검증 룰 – 방화벽 앞 IDS/IPS에 “DROP IKEv2 packets with empty or malformed AUTH payload” 규칙을 추가(전체 차단은 비즈니스 연속성 위험).
3. 모니터링 – EPSS 0.00495(실측 악용 가능성 낮음)와 “hard” 난이도 판단에 따라 현재는 monitor 우선순위로 설정하고, 위 탐지 시그니처를 활성화하여 이상 징후를 지속 관찰.
4. 긴급 대응 – 공격 감지 시 해당 소스 IP 차단 및 VPN 세션 재시작 자동화를 위한 스크립트 운영(DoS 완화).

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00495 · exploit=hard · in_scope=None