[방어] 분석 — CVE-2026-15681

• 심각도 medium · CVSS 5.5 · EPSS 0.00104 · 악용난이도 hard

본 취약점은 AnyDesk의 화면 녹화 파일 처리 과정에서 발생하는 로직 결함을 이용합니다.

1. 전제 조건: 공격자는 대상 시스템에서 이미 low-privileged 권한으로 코드를 실행할 수 있는 상태여야 합니다(AV:L, PR:L).
2. 공격 경로: 특정 경로에 Junction Point(심볼릭 링크와 유사한 디렉터리 연결점)를 생성하여 AnyDesk 서비스가 의도하지 않은 임의의 위치에 파일을 생성하도록 유도합니다.
3. 결과: 이를 통해 시스템 자원을 고갈시키거나 중요 설정 파일을 덮어쓰는 등의 방식으로 Denial-of-Service(DoS) 상태를 유발합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 이는 AV:L 및 PR:L 벡터가 시사하듯 공격자가 이미 대상 시스템에 낮은 권한으로 진입하여 코드를 실행할 수 있는 상태여야 한다는 전제조건 때문입니다. 공격 표면은 AnyDesk의 Screen Recording 파일 처리 로직이며, 특히 Junction(심볼릭 링크의 일종)을 생성하여 서비스가 임의의 파일을 생성하도록 유도하는 메커니즘이 트리거 조건이 됩니다. AC:L과 UI:N인 점으로 보아 일단 권한을 획득한 상태에서는 사용자 상호작용 없이 자동화된 공격이 가능하지만, 로컬 접근 권한이라는 높은 진입장벽이 존재합니다. EPSS 수치가 0.00104로 매우 낮고 KEV에 등재되지 않은 점은 현재 실제 야생(In-the-wild)에서 이 취약점을 단독으로 악용하는 사례가 드물다는 것을 의미합니다. 결과적으로 이론적 심각도보다는 로컬 권한 상승이나 시스템 가용성 파괴를 노리는 2차 공격 단계에서의 활용 가능성이 더 높으며, 외부에서 직접적으로 침투할 수 있는 경로가 아니므로 실질적인 즉시 위협 수준은 제한적입니다.

• 가용성 상실(Availability High): 서비스 중단 또는 OS 수준의 불안정성을 초래하여 AnyDesk 사용 및 시스템 전반의 가용성이 저해됩니다.
• 제한적 권한: 공격자가 이미 로컬 권한을 가진 상태에서 시작하므로, 외부에서 즉시 침투하는 경로가 아닌 내부 권한 상승이나 파괴 목적으로 활용됩니다.

• 권한 상승 체이닝: 임의 파일 생성 기능을 통해 서비스 계정 권한으로 중요 설정 파일을 변조할 경우, DoS를 넘어 권한 상승(Privilege Escalation)으로 이어질 가능성이 추정됩니다.
• 심볼릭 링크 공격: Junction Point를 이용한 File System Race Condition 또는 Arbitrary File Create 패턴의 취약점과 유사합니다.

다중 소스 데이터 교차검증을 통해 신뢰도 1.0으로 확인된 정보이며, EPSS 수치가 0.00104로 매우 낮고 KEV에 등재되지 않아 실제 악용 가능성은 희박(Hard)한 것으로 판단됩니다. 따라서 전수 조사보다는 이상 징후 모니터링 위주로 접근합니다.

• 로그 지표:

  • EDR/Sysmon (Event ID 11, 13): AnyDesk 프로세스가 비정상적인 경로(예: \AppData\Local\Temp 외의 시스템 경로)에 파일을 생성하거나 수정하는 행위.
  • Windows Event Log: 서비스 크래시 또는 반복적인 재시작 로그.

• 탐지 규칙 예시 (Pseudo-SIEM Query):

  sql복사

   1-- AnyDesk 프로세스가 Junction Point가 의심되는 경로에 파일을 생성하는 패턴 탐지
   2SELECT timestamp, host, user, target_path 
   3FROM process_file_events 
   4WHERE process_name = 'AnyDesk.exe' 
   5  AND (target_path LIKE '%C:\Windows\%' OR target_path LIKE '%C:\Program Files\%') 
   6  AND operation = 'CREATE'

• 탐지 규칙 예시 (정규식 - 파일 경로 모니터링):
  (?i)(anydesk\.exe).*(?:junction|symlink).* (추정: 특정 도구를 이용한 Junction 생성 명령어가 프로세스 인자에 포함되는 경우)

• 오탐 튜닝: AnyDesk의 정상적인 업데이트 과정이나 설정 백업 경로를 화이트리스트에 추가하여 오탐을 줄입니다.

본 취약점은 CVSS 5.5 및 EPSS 0.00104 수치를 근거로 우선순위를 monitor로 결정하였습니다. 실측 악용 예측치가 매우 낮으므로 운영 영향도를 고려하여 단계적으로 적용합니다.

• 즉시 (긴급 차단): 화면 녹화 기능 비활성화.

  • 방법: AnyDesk 설정 내에서 화면 녹화 관련 옵션을 끄거나, 정책적으로 제한.
  • 난이도: 낮음 / 운영 영향: 높음(녹화 필요 사용자 불편) / 검증: 설정 메뉴 확인 / 우선순위: 최상

• 단기 (완화): 임시 디렉터리 쓰기 권한 강화.

  • 방법: AnyDesk가 사용하는 임시 폴더의 ACL을 점검하여, 불필요한 사용자가 Junction Point를 생성하지 못하도록 제한.
  • 난이도: 중간 / 운영 영향: 낮음 / 검증: icacls 명령어로 권한 확인 / 우선순위: 중간

• 근본 (해결): 최신 버전 패치 적용.

  • 방법: 벤더사에서 제공하는 CVE-2026-15681 대응 업데이트 버전으로 업그레이드.
  • 난이도: 낮음 / 운영 영향: 매우 낮음 / 검증: anydesk --version 확인 / 우선순위: 필수

잔여 리스크: 패치 이후에도 로컬 권한을 가진 공격자가 다른 파일 시스템 취약점을 이용해 유사한 DoS를 유발할 가능성이 존재하므로, 최소 권한 원칙(Least Privilege)에 따른 사용자 계정 관리가 병행되어야 합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00104 · exploit=hard · in_scope=None