[단독분석] 분석 — CVE-2026-9784

• 심각도 high · CVSS 8.8 · EPSS 0.00689 · 악용난이도 hard

• 유입 경로: NVBULibraryPort 구성 요소의 JSON-RPC 메시지 처리 인터페이스를 통해 조작된 요청이 유입됩니다.
• 취약점 원리: 사용자 입력 문자열에 대한 적절한 검증 없이 SQL 쿼리를 생성하는 SQL Injection 취약점입니다.
• 공격 단계: 공격자는 먼저 기존 인증 메커니즘을 우회하여 접근 권한을 확보한 후, 특수하게 제작된 JSON-RPC 페이로드를 전송합니다. 이를 통해 데이터베이스 조작 및 OS 명령어를 실행하며, 최종적으로 NETWORK SERVICE 권한의 Remote Code Execution(RCE)을 달성합니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L 벡터에 따라 네트워크를 통해 낮은 복잡도로 접근 가능하나, 기본적으로 PR:L(낮은 권한)의 인증 조건이 필요하여 공격 난이도는 Hard로 판정됩니다. 다만, 설명에 명시된 인증 메커니즘 우회(Authentication Bypass)가 성공할 경우 실질적인 진입 장벽은 낮아지며, 공격 표면은 NVBULibraryPort에서 처리하는 JSON-RPC 메시지의 입력 파라미터로 특정됩니다. 공격자는 적절히 조작된 문자열을 전송하여 SQL Injection을 유발하고, 최종적으로 NETWORK SERVICE 권한으로 임의 코드를 실행(RCE)할 수 있습니다. 실제 위협 관점에서 EPSS 값은 0.00689로 낮고 KEV에 등재되지 않아 야생에서의 대규모 악용 사례는 미관측 상태입니다. 하지만 인증 우회 가능성과 RCE라는 치명적 결과가 결합되어 있어, 이론적 심각도와 별개로 타겟팅된 공격 시 높은 위험을 초래할 수 있는 구조입니다.

• 영향 제품: Quest NetVault Backup 14.0.2 미만 버전.
• 기술적 위험:
  • 시스템 제어권 확보: NETWORK SERVICE 권한으로 임의 코드가 실행되므로, 공격자는 해당 서비스가 접근 가능한 시스템 자원 및 내부 네트워크 세그먼트로의 횡적 이동(Lateral Movement) 거점을 마련할 수 있습니다.
  • 백업 데이터베이스 무력화: SQLi를 통해 백업 메타데이터나 설정 정보를 임의로 수정·삭제하여 전체 백업 체계를 파괴할 수 있습니다.
• 비즈니스 리스크:
  • 재해 복구(DR) 불능: 최후의 보루인 백업 솔루션이 장악될 경우, 랜섬웨어 공격 시 데이터 복구가 불가능해져 비즈니스 연속성 계획(BCP)이 완전히 무너질 위험이 큽니다.
  • 기업 자산 정보 유출: 백업 관리 DB 내에 저장된 내부 인프라 구성 및 민감한 설정값이 외부로 유출될 수 있습니다.

• 인증 우회 체이닝: CVSS 벡터상 PR:L(낮은 권한 필요)로 정의되어 있으나, 실제로는 인증 메커니즘 우회가 가능하므로 비인증 공격자가 RCE까지 도달하는 단일 공격 체인이 형성됩니다.

• 네트워크 패턴: NVBULibraryPort 대상 JSON-RPC 요청 중 SQL 예약어(UNION, SELECT, INSERT) 및 특수문자(', --, ;)가 포함된 비정상적 페이로드 모니터링.
• 호스트 행위: NetVault 관련 프로세스가 cmd.exe, powershell.exe 등 쉘 프로세스를 자식 프로세스로 생성하거나, 예상치 못한 외부 IP로 아웃바운드 연결을 시도하는 행위 감시.

• 근본 해결: Quest NetVault Backup 14.0.2 버전 이상으로 업데이트하여 입력값 검증 로직을 적용합니다.
• 즉시 조치: 패치 적용 전까지 NVBULibraryPort 서비스 포트에 대한 ACL(Access Control List)을 설정하여 신뢰할 수 있는 관리자 IP로만 접속을 제한하고 외부 노출을 차단합니다.

[분석 근거 및 우선순위 결정]

• 신뢰도: 다중 소스 데이터 교차검증 결과 정보의 일관성이 확인되어 신뢰도 1.0으로 평가합니다.
• 실측 위협 지표: EPSS 수치는 0.00689(백분위 0.49238)로 매우 낮고 KEV 미등재 및 PoC 미상 상태입니다. 이는 현재 야생에서의 광범위한 악용 사례가 미관측되었음을 의미하며, 실제 악용 난이도는 hard로 판단됩니다.
• 우선순위 결정: CVSS 8.8의 높은 잠재적 영향력과 인증 우회 가능성으로 인해 위험도는 높으나, 실측 EPSS 및 KEV 지표가 낮으므로 대응 우선순위를 scheduled(이번 주 내)로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00689 · exploit=hard · in_scope=None