[단독공격] 분석 — CVE-2026-34908

• 심각도 critical · CVSS 10.0 · EPSS 0.61906 · 악용난이도 easy · KEV

• 정찰

  • mDNS/SSDP·ARP 스캔으로 UniFi OS 디바이스를 식별(기본 포트 443, 8443).
  • 공개된 REST 관리 API 엔드포인트(/api/...)가 인증 없이 응답하는지 HEAD/OPTIONS 요청으로 확인.

• 초기 접근

  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 네트워크만 연결돼 있으면 충분함(인증·사용자 상호작용 불필요).
  • 악의적인 HTTP POST/PUT 요청을 /api/system/config, /api/user/create 등 Improper Access Control이 적용된 엔드포인트에 전송.

• 실행·권한 획득

  • 요청 본문에 JSON 형식으로 시스템 설정 변경 혹은 관리자 계정 생성 파라미터를 삽입.
  • 성공 시 디바이스 내부에 루트 권한을 가진 관리 계정을 추가하거나 기존 설정을 덮어씀.

• 지속

  • 새로 만든 관리자 계정을 이용해 펌웨어 자동 업데이트 비활성화, 백도어 스크립트를 /etc/init.d/에 배치.
  • API 토큰 혹은 SSH 키를 영구적으로 저장해 재접근 보장.

• 영향

  • 전체 UniFi OS 네트워크 제어·데이터 탈취·다른 내부 시스템으로 피벗 가능.

교차검증: 다중 소스에서 일관성이 확인됐으며, 본 리포트는 해당 교차 검증 결과를 기반합니다.
EPSS: 0.61906(실측) → 실제 악용 가능성이 매우 높으며, CVSS 10.0과 독립적으로 위험도를 강조합니다.

악용 가능성: 이 취약점은 네트워크에 직접 연결된 공격자가 별도의 인증 없이(AV:N, PR:N) 바로 요청을 전송하면(AC:L, UI:N) 시스템 권한을 탈취할 수 있으므로 난이도가 낮습니다. EPSS 0.61906이라는 높은 실측 확률과 KEV 등재 사실은 이미 실제 악용 사례가 보고되었음을 의미하며, 이론적 심각도와 별개로 현장에서 위협이 현실임을 입증합니다. UniFi OS 장치에서 노출되는 관리 API 엔드포인트(예: /api/rest/system)와 웹 UI 로그인 없이 접근 가능한 설정 파라미터가 직접적인 공격 표면이며, 이들 인터페이스는 내부망 혹은 VPN 등 네트워크 레벨에서 바로 도달 가능합니다. 초기 정찰 단계에서는 장치의 버전과 API 스키마를 확인하기만 하면 되며, 별도 권한 상승 절차 없이 바로 무단 설정 변경 요청을 전송할 수 있습니다. 따라서 공격 흐름은 ① 네트워크 접근 → ② 관리 엔드포인트 탐색 → ③ 인증 우회 요청 전송 → ④ 시스템 구성 변경이라는 단순 체인으로 이루어집니다. 이러한 조건이 모두 충족될 경우, 방어자는 별도의 추가 권한 획득 단계 없이도 심각한 영향을 받을 수 있습니다.

• 인증 없이 시스템 설정을 변경해 전체 네트워크 관리권 획득.
• 신규 관리자 계정 생성으로 영구적인 원격 제어가 가능.
• 펌웨어 업데이트 차단·백도어 삽입을 통해 장기적인 침투 유지.

• 추정: 동일 제품군에서 과거에 보고된 CWE‑284: Improper Access Control와 CWE‑285: Authorization Bypass 유형이 존재함.
• 이 결함을 이용해 인증 우회 → 권한 상승 → 원격 코드 실행(RCE) 흐름으로 체이닝 가능.
• 예를 들어, 공개된 API 엔드포인트가 내부 서비스(예: Docker 컨테이너 관리)와 연결돼 있으면 해당 서비스의 취약점(CVE‑XXXX‑YYYY)을 추가로 악용해 컨테이너 탈취·호스트 권한 상승이 이루어질 수 있음.

• /api/* 경로에 대한 비정상적인 POST/PUT 요청 로그(특히 내부 IP에서 외부 IP가 아닌 경우).
• 새 관리자 계정 생성 이벤트 또는 기존 계정 권한 변경 기록.
• 펌웨어 업데이트 설정이 비활성화된 시점과 일치하는 시스템 로그 변조 흔적.

• 즉시 조치: 해당 제품군을 5.0.8 이상(또는 5.1.12 이상)으로 최신 펌웨어로 업그레이드하고, 관리 포트(443/8443)를 외부 네트워크에서 차단.
• 네트워크 분리: UniFi OS 디바이스를 내부 VLAN에 격리하고, 허용된 IP만 API 접근을 허용하도록 방화벽 규칙 적용.
• 로그 모니터링: 위 탐지 항목을 SIEM에 연동해 실시간 알림 설정.
• 계정 정리: 불필요한 관리자 계정을 모두 삭제하고, 강력한 다중 인증(MFA) 정책을 적용.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.61906 · exploit=easy · in_scope=None