Ahsay AhsayCBS API 인증 우회 및 관리자 권한 탈취 취약점 (CVE-2026-105133) 긴급 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTAhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 모든 설치 환경
인증되지 않은 원격 공격자가 시스템 비밀번호 검증 로직을 우회하여 백업 서버 관리자 권한을 획득하고 데이터를 유출하거나 파괴할 수 있음
제조사에서 제공하는 최신 보안 패치(9.15.2.70 또는 10.3.4.45 이상)를 즉시 적용
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 최신 버전 업데이트: Ahsay 공식 다운로드 센터를 통해 v9.15.2.70 또는 v10.3.4.45 이상으로 즉시 업그레이드하십시오.
- 네트워크 접근 제어: 패치 적용 전까지 외부 인터넷에서 관리자 API(/obs/api/*)에 접근하지 못하도록 방화벽 또는 WAF에서 IP 화이트리스트를 적용하십시오.
- WAF 탐지 규칙 적용: HTTP 요청 파라미터 중
random인자에 비정상적인 값이 포함되거나 API 호출 패턴이 의심스러운 경우 차단하도록 설정하십시오.
# AhsayCBS 서비스 상태 확인 예시
./bin/status.sh
# 패치 적용 후 버전 확인 필수
cat version.txt코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 AhsayCBS의 API 구성 요소인 com/ahsay/obs/api/ApiStructsAction.java 내 checkSysPwd 함수에서 발생합니다. 공격자가 인증 과정에서 사용되는 random 인자 값을 조작할 경우, 서버가 올바른 비밀번호를 입력하지 않았음에도 불구하고 인증에 성공한 것으로 처리하는 로직 결함(CWE-287)을 악용합니다. 특히 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되었으며, EPSS 점수가 0.94에 달할 정도로 실제 공격 시도가 매우 활발하게 관찰되고 있습니다. 초기 패치가 불완전하여 재차 보안 업데이트가 발표된 사례이므로, 과거에 패치를 수행했더라도 반드시 최신 버전을 재확인해야 합니다.
공식 보안 권고문 및 참조 링크
A vulnerability was detected in Ahsay AhsayCBS up to 9.15.2.69/10.3.4.44. This affects the function checkSysPwd of the file com/ahsay/obs/api/ApiStructsAction.java of the component API. Performing a manipulation of the argument random results in improper authentication. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 9.15.2.70 and 10.3.4.45 is able to mitigate this issue. It is recommended to upgrade the affected component. The initial patch did not fix the security vulnerability properly. An update of the CVE entry to reflect this became necessary.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.