셸 메타문자(`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, 개행)는 **명령 종료** 및 **임의의 추가 명령 실행**을 허용합니다.

### CVSS 10.0이 정당한 이유

게시된 벡터의 모든 CVSS 4.0 영향 메트릭은 **High**이며, **후속 시스템** 영향을 포함합니다:

| 속성 | 값 | 의미 |
|---|---|---|
| `AV:N` | 네트워크 | WAN 익스플로잇 가능 |
| `AC:L` | 낮은 복잡성 | 단일 제작 HTTP 요청 |
| `AT:N` | 특수 공격 요구사항 없음 | 기본 배포에서 익스플로잇 가능 |
| `PR:N` | 권한 없음 | 계정 불필요 |
| `UI:N` | 사용자 상호작용 없음 | 완전 자동화된 익스플로잇 |
| `VC/VI/VA:H` | EIMS 호스트의 전체 기밀성/무결성/가용성 | 완전한 손상 |
| `SC/SI/SA:H` | 후속 시스템 High | EIMS는 중앙 통합 허브 |

이는 CVSS 4.0에서 게시 가능한 가장 심각한 점수 중 하나입니다.

### EIMS 아키텍처 컨텍스트 (운영)

일반적으로 EIMS는 보안 아키텍처에서 **중앙**에 위치합니다:```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

### 취약 시스템에 미치는 영향```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

---

## CWE 분류

| # | CWE ID | 이름 | 관련성 |
|---|---|---|---|
| 1 | **CWE-78** | [OS 명령에 사용되는 특수 요소의 부적절한 중립화('OS 명령 주입')](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand`가 중립화 없이 OS 명령 실행에 전달됨 |

### 관련 취약점 (맥락적)

| CWE | 이름 | 관계 |
|---|---|---|
| CWE-77 | 명령 주입 (일반) | 상위 범주 |
| CWE-306 | 중요 기능에 대한 인증 누락 | 위험한 핸들러에 대한 인증되지 않은 접근 가능성 |
| CWE-20 | 부적절한 입력 검증 | 근본적인 검증 실패 |
| CWE-434 | 제한 없는 업로드 | 익스플로잇 후 가능한 후속 공격, 핵심 CVE 아님 |

---

## 공격 전제 조건

| 전제 조건 | 필수? | 비고 |
|---|---|---|
| 유효한 EIMS 자격 증명 | **아니오** | 인증 불필요 |
| 피해자 사용자 상호 작용 | **아니오** | 단일 HTTP 요청으로 충분 |
| 사전 침해 | **아니오** | 독립적 익스플로잇 |
| EIMS HTTP(S)에 대한 네트워크 접근 가능성 | **예** | `capture_handle.action` 접근 가능 |
| 취약한 버전 (`< 2240008`) | **예** | 패치된 버전은 영향 없음 |
| 인터넷 노출 | **필요하지 않음** | LAN/WAN/VPN 접근 가능 인스턴스 동일하게 위험 |

**원격 익스플로잇 가능:** **예**

---

## 익스플로잇 시나리오

### 시나리오 1 — 인터넷에 노출된 EIMS (Shodan / ZoomEye)

공격자는 인터넷 검색 엔진에서 `app="Dahua EIMS"` 호스트를 열거하고, `capture_handle.action`에 명령 주입을 전달하여 웹쉘 또는 리버스 쉘을 배포하고 기업 보안 데이터베이스를 유출합니다.

### 시나리오 2 — 랜섬웨어 운영자의 대규모 캠페인

자동화된 스캐너가 취약한 인스턴스를 식별합니다. 공격자는 EIMS 호스트와 연결된 파일 공유를 암호화하고, 물리적 출입 통제 및 방문자 관리 통합이 오프라인 상태인 동안 랜섬을 요구합니다.

### 시나리오 3 — 경계 침해로부터의 측면 이동

공격자는 DMZ 웹 서버를 침해하고, 공유 관리 VLAN에서 내부적으로 접근 가능한 EIMS 인스턴스로 피벗한 후, 호스트에 저장된 EIMS 자격 증명/API 키를 사용하여 다운스트림 도어 컨트롤러 및 카메라와 상호 작용합니다.

### 시나리오 4 — 내부자 없는 간첩 활동

국가 또는 범죄 행위자는 서비스를 재시작하지 않고 인사 접근 로그, 방문자 기록 및 건물 지도를 조용히 유출하며, cron/systemd 백도어를 통해 장기적인 지속성을 유지합니다.

### 시나리오 5 — 공급망 / 통합업체 MSP

관리형 서비스 제공업체는 수십 명의 고객을 위해 하나의 EIMS 인스턴스를 호스팅합니다. 단일 침해가 해당 서버의 **모든 테넌트**에 영향을 미칩니다 — 집중된 치명적 장애입니다.

---

## 영향 평가

### 기술적 영향

| 영역 | 등급 | 세부 사항 |
|---|---|---|
| 기밀성 | **높음** | 전체 파일 시스템 및 DB 읽기 접근 일반적 |
| 무결성 | **높음** | 임의 파일 쓰기, 구성 변조, 백도어 |
| 가용성 | **높음** | 프로세스 종료, 데이터 삭제, 랜섬웨어 |
| 후속 시스템 | **높음** | 통합 자격 증명으로 다운스트림 악용 가능 |

### 업무 영향

| 부문 | 결과 |
|---|---|
| **기업 캠퍼스** | 출입 통제 우회, 방문자 데이터 유출 |
| **정부 / 중요 인프라** | 물리적 보안 전반에 걸친 제어 평면 침해 |
| **의료** | HIPAA 관련 접근 로그 노출 |
| **교육** | 학생/직원 안전 시스템 조작 |
| **통합업체 / MSP** | 단일 호스트에서 다중 고객 침해 |

### 규제 및 법적 노출

EIMS 침해는 다음을 유발할 수 있습니다:

- 침해 통지 의무 (GDPR, 주 개인정보 보호법 등)
- 규제 부문에서의 중요 인프라 보고
- 물리적 보안 고객과의 계약상 SLA 위반

---

## 자산 탐색

### ZoomEye 쿼리

| 플랫폼 | 쿼리 | 링크 |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [ZoomEye에서 검색](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### 방어적 인벤토리 (승인된 경우에만)

| 방법 | 작업 |
|---|---|
| **CMDB / 라이선스 기록** | 모든 EIMS 설치 및 버전 나열 |
| **VM 인벤토리** | 애플리케이션 서버에서 Dahua EIMS 패키지 검색 |
| **리버스 프록시 구성** | `capture_handle.action`으로 라우팅하는 업스트림 식별 |
| **취약점 스캐너** | 게시된 서명을 사용하여 공급업체 승인 점검 실행 |
| **인터넷 공격 표면** | 소유한 공용 IP와 ZoomEye 결과 비교 |

> 소유했거나 명시적으로 테스트 권한이 있는 자산만 스캔하십시오.

---

## 탐지 및 침해 지표

### 네트워크 지표

- **`/capture_handle.action`** 또는 경로 접미사 일치에 대한 HTTP `GET`/`POST`
- **`captureCommand=`** 와 셸 메타 문자 또는 인코딩된 등가물(`%3B`, `%7C`, `%26`, `%24`, `` %60 ``, `%0A`)을 포함하는 요청
- **4xx/5xx** 응답 급증 후 EIMS 호스트에서 **새로운 아웃바운드 연결**
- 비정상 HTTP 이후 애플리케이션 서버에서 예상치 못한 **DNS 쿼리** 또는 **비콘닝**

### 호스트 지표

- EIMS 서버의 새로운 **cron 작업**, **예약된 작업** 또는 **systemd 유닛**
- Tomcat/webapp 디렉터리의 예상치 못한 **웹쉘**
- **새로운 로컬 사용자** 또는 **SSH authorized_keys** 수정
- **java** 또는 **tomcat** 프로세스가 `/bin/sh`, `cmd.exe`, `powershell`, `bash` 생성
- 웹 접근 로그와 연관된 EIMS 호스트의 안티바이러스/EDR 경고

### 애플리케이션 로그 패턴

- **익숙하지 않은 소스 IP**에서 `capture_handle.action` 접근
- **높은 빈도**의 동일한 요청 (스캐너 동작)
- 의심스러운 `captureCommand` 값 직후 명령 래퍼 유틸리티에서 오류

### 위협 인텔리전스 피드

다음 사항을 모니터링:

- CNVD-2024-17054 / CVE-2024-13985 서명
- Nuclei 템플릿 일치 (공개 템플릿 존재 — **승인된** 스캔에 사용)
- Dahua EIMS 익스플로잇 시도를 태깅하는 SIEM 규칙

### 권장 긴급 쿼리 (SIEM)```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)