[방어] 분석 — CVE-2026-45494

• 심각도 medium · CVSS 5.4 · EPSS 0.00302 · 악용난이도 hard

본 취약점은 Chromium 기반 브라우저의 URL 파싱 로직과 UI 렌더링 간의 불일치를 이용한 Spoofing 및 XSS입니다.

1. 경로: 공격자는 javascript: 스킴이나 특수 인코딩된 URL 파라미터를 포함한 악성 링크를 사용자에게 전달합니다.
2. 우회: 다중 레이어 디코딩 과정을 악용하여, 브라우저 주소창에는 신뢰할 수 있는 도메인으로 표시되지만 실제 실행 단계에서는 javascript: 코드가 동작하도록 유도합니다(추정: 이중 인코딩 %25253a 등 사용).
3. 단계: User Interaction(링크 클릭) $\rightarrow$ URL 파싱 불일치로 인한 주소창 기만 $\rightarrow$ 악성 스크립트 실행(XSS) $\rightarrow$ 세션 쿠키 탈취 및 피싱 페이지 리다이렉션으로 이어집니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판정됩니다. CVSS 벡터상 AV:N과 AC:L로 네트워크를 통한 원격 공격이 가능하고 복잡도가 낮으나, 결정적으로 UI:R 조건이 붙어 있어 공격자가 제어할 수 없는 사용자 상호작용(User Interaction)이 필수적입니다. 즉, 공격자는 정교하게 조작된 피싱 사이트나 악성 URL을 통해 사용자가 특정 동작을 수행하도록 유도해야 하며, 이는 기술적 난이도보다 사회공학적 기법의 성공 여부에 의존함을 의미합니다. EPSS 수치가 0.00302로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생에서 자동화된 대규모 익스플로잇이 유포되고 있지 않음을 시사하며, 이론적 심각도 대비 실제 악용 가능성은 낮은 상태입니다. 공격 표면은 Microsoft Edge 브라우저의 URL 렌더링 및 주소창 표시 영역이며, 프로토콜 수준의 취약점이 아닌 웹 페이지 내 파라미터 조작을 통한 Spoofing 트리거가 핵심입니다. 결과적으로 본 취약점은 단독으로 시스템 권한을 탈취하기보다, 사용자에게 신뢰할 수 있는 사이트로 오인하게 만들어 추가적인 자격 증명 탈취나 악성 파일 다운로드를 유도하는 징검다리 단계로 악용될 가능성이 높습니다.

• 기밀성 저하: document.cookie 접근을 통한 세션 토큰 탈취 및 계정 하이재킹 가능성이 있습니다. 특히 SSO(Single Sign-On)가 적용된 내부 포털 이용 시 위험도가 증폭됩니다.
• 무결성 저하: 브라우저 내 DOM 변조를 통해 사용자에게 거짓 정보를 표시하거나, 신뢰할 수 있는 사이트로 위장한 피싱 인터페이스를 노출시킬 수 있습니다.

• 유형 연계: Reflected XSS 및 URL Spoofing 패턴의 체이닝입니다.
• 공격 확장: 단순 스크립트 실행에 그치지 않고, 탈취한 쿠키를 이용해 내부망의 다른 서비스로 권한을 확대하는 세션 하이재킹 공격과 연계될 수 있습니다.

브라우저 렌더링 단계에서 동작하므로 서버 로그보다는 프록시(WAF/IPS) 및 엔드포인트 로그 분석이 핵심입니다.

1. 탐지 지표 및 패턴

• 로그 위치: WAF HTTP Request Log, Proxy Access Log, EDR Browser Process Argument
• 핵심 필드: uri, query_string, referrer
• 탐지 패턴:
  • %25 (Percent encoding)가 반복적으로 나타나는 이중/삼중 인코딩 패턴.
  • URL 내에 javascript:, data:text/html 등이 인코딩된 형태로 포함된 경우.

2. SIEM 탐지 쿼리 예시 (의사코드)

 1-- 패턴 1: 다중 인코딩 및 javascript 스킴 우회 시도 탐지
 2SELECT timestamp, source_ip, request_url 
 3FROM web_proxy_logs 
 4WHERE (request_url LIKE '%%2525%' OR request_url LIKE '%%253a%') 
 5  AND (request_url REGEXP '(?i)(javascript|data|vbscript)')
 6  AND user_agent LIKE '%Edg/%'
 7 
 8-- 패턴 2: 비정상적인 특수문자 조합을 통한 URL 기만 탐지
 9SELECT timestamp, request_url 
10FROM waf_logs 
11WHERE request_url REGEXP '([%]{2,})|(%25[0-9a-fA-F]{2}){2,}'
12  AND http_response_code = 200

3. 오탐 튜닝 및 한계

• 오탐 시나리오: 정상적인 웹 애플리케이션이 복잡한 쿼리 파라미터를 전달하기 위해 다중 인코딩을 사용하는 경우 발생합니다.
• 튜닝 방법: 내부 서비스 중 정상적으로 %25를 많이 사용하는 도메인을 White-list 처리하고, javascript:와 같은 실행 키워드가 결합된 경우만 High severity로 격상합니다.
• 한계: Chromium의 다중 레이어 디코딩 특성상, 최종 실행 직전 단계의 페이로드는 로그에 남지 않을 수 있습니다.

[오늘 당장 적용할 임시 차단 한 가지]

• 조치: WAF/프록시 단에서 URL 내 %2525 (Double Percent) 및 javascript: 키워드가 포함된 요청을 즉시 Drop 처리합니다.
• 난이도/영향: 낮음 / 일부 복잡한 URL 사용 서비스의 접속 불가 가능성 있음.

1. 즉시(긴급 차단)

• CSP 강화: 서버 측에서 Content-Security-Policy: script-src 'self' 'nonce-...'를 설정하여 인라인 스크립트 및 외부 악성 스크립트 실행을 원천 차단합니다. (난이도: 중 / 영향: 기존 인라인 스크립트 작동 중단 가능성 / 검증: 브라우저 콘솔의 CSP Violation 에러 확인)

2. 단기(완화)

• 브라우저 정책 설정: Edge 관리 템플릿을 통해 '신뢰할 수 없는 사이트의 팝업 및 리다이렉션'을 제한하고, 서드파티 쿠키 차단 정책을 적용하여 쿠키 탈취 경로를 좁힙니다. (난이도: 낮음 / 영향: 사용자 편의성 저하 / 검증: GPO 적용 확인)
• 버전 모니터링: 사내 Edge 버전 현황을 전수 조사하여 148.0.3967.70 미만 버전을 식별합니다. (난이도: 낮음 / 영향: 없음 / 검증: 자산 관리 시스템 쿼리)

3. 근본(해결)

• 패치 적용: Microsoft Edge를 최신 버전(148.0.3967.70 이상)으로 강제 업데이트합니다. (난이도: 낮음 / 영향: 브라우저 재시작 필요 / 검증: edge://settings/help 버전 확인)

[분석 근거 및 우선순위 결정]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석하였습니다.
• EPSS 해석: EPSS 수치가 0.00302(백분위 0.22506)로 매우 낮습니다. 이는 이론적 심각도(CVSS 5.4)와 별개로, 현재 실제 야생에서 악용될 확률이 매우 낮음을 의미합니다.
• 우선순위 결정: monitor 단계로 설정하였습니다. 근거는 CVSS 점수가 Medium이며, KEV(Known Exploited Vulnerabilities)에 등재되지 않았고, EPSS 수치가 극히 낮으며, 공격 난이도가 hard(User Interaction 필수 및 정교한 URL 조작 필요)이기 때문입니다. 따라서 즉각적인 전사 패치보다는 핵심 자산(SSO 포털 등)의 CSP 강화와 모니터링에 집중합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.4 · non-KEV · EPSS=0.00302 · exploit=hard · in_scope=None