[공격] 분석 — CVE-2026-12705

• 심각도 medium · CVSS 6.4 · EPSS 0.00098 · 악용난이도 hard

• 정찰: LAN 내에서 mDNS/SSDP·포트 스캔을 이용해 KNX Update Tool(ABB/BJE) 서비스가 열려 있는 호스트를 식별한다. CVSS AV:A에 해당하는 인접 네트워크 접근만으로 충분하다.
• 초기 접근: 툴이 제공하는 업데이트 엔드포인트(보통 HTTP/HTTPS 기반, 포트는 제품 문서에 명시)로 악성 KNX 펌웨어 파일을 전송한다. UI:N·AC:H 조건이므로 공격자는 정교하게 포맷된 패키지와 메타데이터를 준비해야 한다.
• 실행·권한 획득: 툴은 무결성 검증을 수행하지 않으므로(“Missing support for integrity check”) 파일을 그대로 로드한다. 이 단계에서 악성 코드가 툴 프로세스 권한으로 실행되며, PR:L에 따라 낮은 초기 권한만으로도 시스템/관리자 수준의 권한을 획득할 수 있다.
• 지속: 공격자는 업데이트 파일 안에 서비스·작업 등록 명령을 삽입해 재부팅 후에도 지속성을 확보한다(예: Windows Service, cron).
• 영향: I:H·A:H에 따라 네트워크 제어권 탈취와 서비스 중단이 가능하다. 특히 KNX 빌딩 자동화 시스템 전체에 악성 펌웨어를 퍼뜨릴 수 있다.

다중 소스에서 일관성이 확인됐으며(교차검증) AV:A·AC:H·PR:L·UI:N 조합은 실제 인접 네트워크 환경에서 고난이도(Exploit hard) 조건을 의미한다.

악용 가능성: 이 취약점은 인접 네트워크(AV:A)에서만 악용할 수 있으므로 공격자는 대상 시스템과 동일한 LAN이나 직접 연결된 서브넷에 존재해야 합니다. 복잡도는 AC:H로 평가되는데, 이는 정상적인 업데이트 파일 형식·구조를 그대로 유지하면서 무결성 검증을 우회하도록 조작된 펌웨어 패키지를 제작하고, 이를 KNX Update Tool이 받아들이도록 하는 일련의 단계가 필요함을 의미합니다. 공격자는 최소 권한(PR:L)만으로도 업데이트 요청을 전송할 수 있지만, 해당 툴이 제공하는 “업데이트 파일 업로드” API(예: /update, file 파라미터)와 내부 검증 로직 부재가 공격 표면이 됩니다. 실제 위협 정도를 뒷받침하는 EPSS 값 0.00098은 현재 보고된 악용 사례는 거의 없지만, 존재 가능성을 완전히 배제할 수 없음을 나타냅니다(KEV 미등재). 공격 흐름은 (1) 네트워크 스캔을 통한 KNX 장비·툴 식별, (2) 저권한 계정으로 관리 인터페이스 접근, (3) 무결성 검증이 없는 업데이트 파일을 업로드, (4) 툴이 해당 파일을 시스템 권한으로 실행해 임의 코드를 삽입하는 순서로 전개됩니다. 따라서 이 취약점은 “hard” 등급에 부합하며, 실제 악용을 위해서는 인접 네트워크 접근·파일 변조·업데이트 트리거라는 세 가지 조건이 모두 충족되어야 합니다.

악성 업데이트가 적용되면 공격자는 KNX 장비 제어권을 획득하고, 임의 코드를 실행해 빌딩 자동화 시스템을 조작·파괴하거나 내부 네트워크에 추가 악성코드를 심을 수 있다. 데이터 무결성과 서비스 가용성이 크게 위협받는다.

• 무결성 검증 부재(CWE‑??) → 파일 변조 → 임의 코드 실행.
• 추정: 동일 LAN에 존재하는 미패치된 원격 관리 인터페이스(CVE‑XXXX‑YYYY 등)가 있다면, 해당 인터페이스를 통해 초기 접근을 자동화할 수 있다.
• 일반 패턴: 무결성·인증 결여 → 파일 기반 RCE → 권한 상승 → 지속 → 네트워크 장비 제어.

• 업데이트 서비스에 대한 비정상적인 HTTP POST/PUT 요청 로그(특히 예상되지 않은 IP·파일 해시).
• knxupdate.exe(또는 유사 프로세스)의 비정상적인 메모리 매핑·로드 모듈 이벤트.
• 네트워크 트래픽에서 업데이트 포트에 대한 갑작스러운 데이터 양 증가.

1. 패치 적용: 2.0.175 이후 버전으로 업그레이드하여 무결성 검증을 활성화한다.
2. 네트워크 제한: 업데이트 엔드포인트를 내부 VLAN에만 노출하고, 불필요한 인접 접근을 방화벽으로 차단한다.
3. 무결성 검증 강화: 서명된 펌웨어만 허용하도록 정책을 설정하고, 파일 해시·디지털 서명을 로그에 기록한다.
4. 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 구성한다.

우선순위는 “monitor”이며(우선순위 결정: CVSS 6.4, non‑KEV, EPSS 0.00098, exploit hard), 즉시 패치와 접근 제어 강화가 최선의 방어 조치이다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.4 · non-KEV · EPSS=0.00098 · exploit=hard · in_scope=None