[공격] 분석 — CVE-2026-15681

• 심각도 medium · CVSS 5.5 · EPSS 0.00104 · 악용난이도 hard

• 전제조건: 공격자는 대상 시스템에 저권한(L) 코드 실행 권한을 이미 확보해야 함. (CVSS PR:L, AV:L)
• 공격 표면
  • AnyDesk 서비스가 접근하는 로컬 디렉터리(예: %APPDATA%\AnyDesk\ScreenRecording)
  • 파일 시스템 API를 이용해 NTFS 재parse point(junction) 생성 가능 여부
• 단계
  1. 정찰 – AnyDesk 설치 경로와 화면 녹화 저장소 위치 파악 (레지스트리/설정 파일).
  2. 초기 접근·실행 – 로컬에서 저권한 프로세스가 CreateDirectory + SetReparsePoint 등을 이용해 대상 디렉터리에 악성 junction을 생성, 목표는 시스템 경로나 임시 폴더 등으로 리다이렉트.
  3. 서비스 트리거 – AnyDesk 화면 녹화 기능이 작동(사용자 요청 또는 주기적 자동 녹화)하면 서비스가 해당 경로에 파일을 쓰려 함. 재parse point을 따라가면서 임의 위치에 파일을 생성/덮어쓰기 시도.
  4. 영향 – 파일 시스템 오류 혹은 무한 루프, 권한 충돌 등으로 AnyDesk 프로세스가 비정상 종료·재시작 반복 → 서비스 거부(DoS).
• 공격 원리: 재parse point을 통한 경로 탈출(Path Traversal) + 서비스가 입력 검증 없이 파일 생성 → CWE‑610, CWE‑775.
• 실제 조건 매핑: CVSS 벡터 AV:L/AC:L/PR:L/UI:N은 “로컬에서 간단히 재parse point을 만들고 AnyDesk 내부 기능만 호출하면 된다”는 점과 일치.

악용 가능성: AV가 L(로컬)인 점은 공격자가 대상 머신에 직접 접근하거나 악성 로컬 프로세스를 실행할 수 있어야 함을 의미합니다. AC가 L(낮음)이고 PR이 L(저권한)이며 UI가 N(사용자 개입 없음)이므로, 일단 저권한 코드가 실행되면 별도의 사용자 조작 없이 파일 경로를 조작해 임의의 정점(junction)을 만들기만 하면 서비스가 비정상 종료됩니다. 따라서 초기 진입 단계는 “저권한 로컬 코드 실행”이라는 전제조건이 가장 큰 장벽이며, 이 조건을 만족하면 exploitation은 매우 단순합니다. EPSS 0.00104라는 수치는 현재까지 관측된 실제 악용 사례가 극히 드물지만 존재함을 보여주며, KEV에 등재되지 않은 점은 아직 대규모 공격 캠페인으로 확산되지 않았음을 의미합니다. 공격 표면은 AnyDesk의 화면 녹화 파일 처리 API와 해당 파일 경로 파라미터이며, 서비스가 로컬 파일 시스템에 대한 junction 생성 검증을 수행하지 않아 임의 파일·디렉터리를 만들 수 있습니다. 이 정점이 존재하는 한, 로컬 권한 상승 후 바로 DoS를 유발할 수 있는 실전 공격 경로가 형성됩니다.

• 서비스 거부(DoS) – AnyDesk 원격 지원 및 화면 공유가 중단되어 업무 연속성이 손상됨.
• 시스템 전반적인 가용성 저하 없이 파일 무결성·기밀성은 직접적으로 침해되지 않음(C = N, I = N).

• CWE‑610 (Improper Restriction of File System Operations) – 재parse point을 제한하지 않아 발생한 기본 결함.
• CWE‑775 (Missing Release of Resource after Effective Lifetime) – 서비스가 파일 생성 후 정상적으로 정리하지 못해 자원 고갈이 일어남.
• 추정: 다른 로컬 권한 상승 취약점(CVE 미확인)과 연계하면, DoS 후 재시작 시 악성 DLL을 동일 경로에 배치해 코드 실행으로 확장될 가능성이 있음. 현재 보고된 증거는 없으며 가설 수준임.

• 파일 시스템 감시: AnyDesk 화면 녹화 폴더 내 junction 혹은 reparse point 생성 이벤트(예: Sysmon Event ID 23).
• 프로세스 모니터링: AnyDesk.exe 비정상적인 크래시·재시작 로그, 또는 CreateFile 호출이 비허용 경로를 대상으로 할 때.
• EDR/AV 알림: 저권한 프로세스가 시스템 디렉터리(예: C:\Windows\System32)에 파일을 쓰려 시도하는 행위.

1. 즉시 조치 – 로컬 사용자에게 AnyDesk 화면 녹화 기능을 비활성화하고, 해당 디렉터리 권한을 서비스 계정만 쓰기 가능하도록 제한.
2. 패치 적용 – 공급업체가 제공하는 최신 AnyDesk 업데이트를 배포하여 파일 경로 검증 로직을 강화.
3. 시스템 방어 – AppLocker 또는 Windows Defender Application Control 정책으로 저권한 사용자가 재parse point을 생성하지 못하도록 차단.
4. 모니터링 – 위 탐지 지표를 SIEM에 연동하여 실시간 알림 설정, 정기적인 파일 시스템 무결성 검증 수행.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00104 · exploit=hard · in_scope=None