[공격] 분석 — CVE-2026-9787

• 심각도 high · CVSS 8.8 · EPSS 0.01403 · 악용난이도 hard

(1) 트리거 조건: NVBULogDaemon이 처리하는 JSON-RPC 메시지 내 사용자 입력값이 적절한 검증 없이 시스템 콜(System Call)로 전달될 때 발생함. 특수문자(예: ;, |, `)를 이용해 쉘 명령어를 주입하여 실행 가능.

(2) 공격 단계:

• 정찰: 대상 서버의 NetVault Backup 서비스 포트 활성화 여부 및 버전 확인.
• 초기 접근: 인증이 필요하나, 리포트에 명시된 '인증 메커니즘 우회' 결함을 이용하여 비인가 상태로 JSON-RPC 엔드포인트에 접근.
• 실행 및 권한 획득: NVBULogDaemon으로 조작된 JSON-RPC 요청 전송 $\rightarrow$ Command Injection 트리거 $\rightarrow$ 프로세스 권한인 SYSTEM 권한으로 임의 코드 실행.
• 지속 및 영향: SYSTEM 권한을 이용해 백도어 설치, 데이터 탈취 또는 내부 네트워크 횡적 이동 수행.

(3) 공격 표면:

• 엔드포인트: NVBULogDaemon 관련 JSON-RPC 수신 포트 (추정: TCP 기반의 특정 관리 포트).
• 파라미터: JSON-RPC 메시지 내 시스템 명령어로 전달되는 문자열 필드.

(4) CVSS 벡터 분석:

• AV:N/AC:L: 네트워크를 통해 특별한 조건 없이 공격 가능.
• PR:L/UI:N: 기본적으로 낮은 수준의 권한이 필요하나, 인증 우회 가능성이 확인되어 실제 진입 장벽은 매우 낮음.

악용 가능성: 본 취약점은 AV:N/AC:L 특성상 네트워크를 통해 원격으로 트리거 가능하며, 공격 표면은 NVBULogDaemon이 처리하는 JSON-RPC 메시지 엔드포인트와 그 내부의 입력 파라미터에 집중됩니다. 비록 PR:L로 인증이 필요하다고 명시되어 있으나, 설명에 언급된 '인증 메커니즘 우회'가 가능하므로 실제 공격 난이도는 hard 등급임에도 불구하고 실질적인 진입 장벽은 매우 낮습니다. 공격자는 정찰 단계에서 해당 데몬의 포트를 확인한 후, 검증되지 않은 문자열을 포함한 JSON-RPC 요청을 전송하여 시스템 콜을 직접 호출하는 Command Injection을 유도할 수 있습니다. 특히 실행 컨텍스트가 SYSTEM 권한이라는 점은 초기 접근 직후 추가적인 권한 상승 과정 없이 즉시 완전한 시스템 제어권을 획득하게 함을 의미합니다. EPSS 수치가 0.01403으로 낮고 KEV에 등재되지 않은 것은 대중적인 자동화 툴의 보급보다는 타겟팅된 공격 가능성이 높음을 시사하지만, 인증 우회와 RCE가 체이닝되는 구조상 실제 악용 가능성은 매우 치명적입니다. 결과적으로 이 취약점은 '인증 우회 → JSON-RPC 입력값 조작 → SYSTEM 권한 코드 실행'으로 이어지는 단순하고 강력한 공격 체인을 가집니다.

(1) 기술적 위험:

• 시스템 완전 장악: SYSTEM 권한으로 코드가 실행되므로 OS 전체 제어권 획득.
• 데이터 유출 및 파괴: 백업 솔루션 특성상 저장된 모든 백업 데이터에 접근하여 탈취하거나 삭제 가능.

(2) 비즈니스 영향:

• 가용성 상실: 백업 시스템 마비로 인한 재해 복구(DR) 불능 상태 초래.
• 컴플라이언스 위반: 민감 데이터가 포함된 백업본 유출 시 법적/규제적 리스크 발생.

• 체이닝 경로: [인증 우회(Authentication Bypass)] $\rightarrow$ [명령어 주입(Command Injection)] $\rightarrow$ [원격 코드 실행(RCE)].
• 추정 패턴: JSON 파싱 단계에서의 타입 검증 미흡이나 로직 결함으로 인해 인증 단계를 건너뛰고, 이후 입력값 검증이 없는 system() 또는 유사 함수로 데이터가 전달되는 전형적인 체이닝 구조임.

(1) 로그 지표: NVBULogDaemon 관련 프로세스 로그 및 OS 이벤트 로그에서 비정상적인 자식 프로세스 생성 기록 확인.
(2) 탐지 규칙:

• Rule 1 (프로세스): parent_process == "NVBULogDaemon.exe" AND child_process IN (cmd.exe, powershell.exe, sh, bash)
• Rule 2 (네트워크/페이로드): JSON-RPC 요청 바디 내에 ;, &&, ||, /bin/sh, whoami 등 쉘 메타문자 및 명령어 포함 여부 탐지 (regex: /(;|\||)\s*(whoami|hostname|net\s+user|cat|ls)/i`)
• Rule 3 (인증): 동일 IP에서 짧은 시간 내에 인증 실패 후 즉시 성공하거나, 비정상적인 인증 토큰 없이 관리자 기능 호출 시도 탐지.

(3) 오탐 및 튜닝: 정상적인 관리 스크립트가 JSON-RPC를 통해 명령을 수행하는 경우 오탐 가능성 있음. 화이트리스트 기반의 관리 서버 IP 제한 및 정상 요청 패턴 정의 필요.

• 즉시 (긴급 차단):
  • 네트워크 ACL 설정을 통해 NVBULogDaemon 포트에 접근 가능한 IP를 신뢰할 수 있는 관리자 단말로 엄격히 제한. (난이도: 낮음 / 영향: 낮음 / 검증: 외부 IP 접속 테스트)
• 단기 (완화):
  • IPS/WAF에 JSON-RPC 페이로드 내 쉘 메타문자 차단 시그니처 적용. (난이도: 중간 / 영향: 매우 낮음 / 검증: 더미 페이로드 전송 테스트)
• 근본 (해결):
  • Quest NetVault Backup 버전을 14.0.2 이상으로 업데이트. (난이도: 중간 / 영향: 서비스 일시 중단 필요 / 검증: 버전 확인 및 패치 노트 대조)

[파이프라인 근거] 본 분석은 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.01403, 백분위 0.69744) 수치를 기반으로 실제 악용 가능성이 이론적 심각도보다 낮음을 반영하여 우선순위를 scheduled(이번 주 내)로 결정한 결과입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.01403 · exploit=hard · in_scope=None