[공격] 분석 — CVE-2026-9774

• 심각도 medium · CVSS 6.5 · EPSS 0.01195 · 악용난이도 hard

• 트리거 조건: updateLicense 메서드 내에서 사용자 입력 경로에 대한 검증(Validation) 부족을 이용해 상위 디렉토리로 이동하는 ../ (Dot-dot-slash) 시퀀스를 주입, 파일 삭제 함수를 트리거함.
• 공격 단계:
  1. 정찰: 대상 시스템의 ATEN Unizon 버전 확인 및 인증 가능한 계정 확보.
  2. 초기 접근: 유효한 관리자 권한(PR:H)을 가진 계정으로 로그인하여 세션 획득.
  3. 실행/권한 획득: updateLicense 엔드포인트에 조작된 경로 파라미터를 전송. (예: path=../../etc/passwd 또는 시스템 설정 파일 경로)
  4. 영향: 서버 내 임의의 중요 파일 삭제 수행.
• 공격 표면:
  • 노출 엔드포인트: 추정: /updateLicense 또는 관련 API 경로.
  • 파라미터: 파일 경로를 받는 입력 필드.
  • 프로토콜: HTTP/HTTPS.
• CVSS 벡터 분석: AV:N(원격 접근 가능), AC:L(공격 복잡도 낮음)이나, PR:H(높은 수준의 권한 필요) 조건이 필수적임. 즉, 외부 비인증 공격자보다는 내부 위협자나 계정이 탈취된 상태에서의 공격 시나리오가 핵심임.

악용 가능성: 본 취약점은 네트워크를 통해 원격으로 트리거 가능(AV:N)하고 공격 복잡도가 낮으나(AC:L), 높은 수준의 권한(PR:H)을 가진 계정이 필요하므로 실제 공격 난이도는 Hard로 판정됩니다. 공격 표면은 updateLicense 메서드가 노출된 엔드포인트이며, 라이선스 업데이트 과정에서 경로 검증이 누락된 파라미터를 통해 Directory Traversal 공격이 가능합니다. EPSS 수치가 0.01195로 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 대규모로 자동화된 공격이 일어나지 않고 있음을 시사하지만, 내부 권한을 탈취한 공격자가 시스템의 핵심 파일을 삭제하여 DoS 상태를 유발하거나 서비스 가용성을 파괴하는 정밀 타격 도구로 악용될 가능성이 큽니다. 특히 관리자 권한을 이미 확보한 상태에서 추가적인 OS 커맨드 실행(RCE) 없이도 파일 시스템에 직접 영향을 줄 수 있다는 점이 실전적 위협 요소입니다. 결과적으로 이 취약점은 단순 외부 침입보다는 내부 위협이나 권한 상승 이후의 파괴 단계(Impact stage)에서 결정적인 역할을 수행할 것으로 분석됩니다.

• 기술적 위험:
  • 임의 파일 삭제: 시스템 구성 파일, 라이선스 파일, 로그 파일 등을 삭제하여 시스템 무결성 파괴.
  • 서비스 거부(DoS): 부팅 필수 파일이나 애플리케이션 핵심 바이너리를 삭제하여 시스템을 불능 상태로 만듦.
• 비즈니스 영향:
  • 가용성 상실: 하드웨어 제어 솔루션인 Unizon의 중단으로 인한 인프라 관리 공백 발생.
  • 복구 비용 증가: 파일 삭제 시 백업이 없을 경우 OS 재설치 및 설정 복구가 필요함.

• 추정 체이닝 경로:
  • 인증 우회/계정 탈취(Broken Authentication) $\rightarrow$ Path Traversal (CVE-2026-9774) $\rightarrow$ 임의 파일 삭제 $\rightarrow$ DoS.
  • 본 취약점은 단독으로 RCE를 일으키지는 않으나, 추정: 특정 설정 파일을 삭제하여 보안 기능을 무력화한 뒤 다른 취약점을 통해 권한을 상승시키는 경로로 활용될 수 있음.
• 유형 수준 체이닝: CWE-22 (Path Traversal) $\rightarrow$ CWE-434 (Unrestricted Upload/Deletion).

• 로그 지표: HTTP Request Log의 URI 또는 Body 파라미터 내에 .., /etc/, /windows/, .conf 등의 문자열이 포함된 요청 확인.
• 탐지 규칙:
  1. 패턴 매칭: request_body or url_params contains (\.\.\/|\.\.\\) AND endpoint equals /updateLicense.
  2. 정규식 기반: (?i)(\.\.\/|\.\.\\)(.*)(conf|ini|etc|system32) 패턴이 요청 파라미터에 등장하는지 감시.
  3. 이상 징후: 단시간 내에 다수의 파일 삭제 시도가 발생하는 API 호출 빈도 모니터링.
• 오탐 및 튜닝: 정상적인 라이선스 업데이트 경로에 ..가 포함되는지 확인 후, 화이트리스트 기반의 허용 경로(Allowlist)를 정의하여 필터링.

• 즉시 (긴급 차단):
  • 접근 제어: 관리자 페이지 및 API 엔드포인트에 대해 신뢰할 수 있는 특정 IP(Management Network)만 접근 가능하도록 ACL 설정. (난이도: 저 / 영향: 낮음 / 검증: 외부 IP 접속 테스트)
• 단기 (완화):
  • WAF 적용: Path Traversal 패턴(../)을 차단하는 WAF 시그니처 활성화. (난이도: 저 / 영향: 매우 낮음 / 검증: 페이로드 전송 테스트)
• 근본 (해결):
  • 버전 업데이트: ATEN Unizon 2.7.264 이상 버전으로 업그레이드. (난이도: 중 / 영향: 일시적 서비스 중단 가능성 / 검증: 버전 정보 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값 0.01195(백분위 0.64842)를 기반으로 실제 악용 가능성이 이론적 심각도보다 낮음을 확인하였습니다. 또한 PR:H 조건과 KEV 미등재 상태를 고려하여 규칙 기반 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.01195 · exploit=hard · in_scope=None