CVE-2026-22557 — UniFi Network Application 탐지

필드	세부 정보
CVE	CVE-2026-22557
게시일	2026-03-19
CNA	HackerOne
CVSS 점수	10.0 CRITICAL
벡터	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
공급업체	Ubiquiti Inc
제품	UniFi Network Application

설명

UniFi Network Application의 경로 탐색(path traversal) 취약점으로 인해 원격의 인증되지 않은 공격자가 기본 시스템에서 임의의 파일을 읽을 수 있습니다. 이러한 파일은 조작을 통해 기본 계정에 대한 액세스 권한을 얻는 데 사용될 수 있습니다.

영향을 받는 버전

브랜치	영향 받는 버전	패치 버전
Stable	< 10.1.89	10.1.89
Release Candidate	< 10.2.97	10.2.97
UniFi Express (UX)	< 9.0.118	9.0.118

저장소 구조

.
├── docs/
│   └── mitre_attack.md          # MITRE ATT&CK 매핑
├── kql/
│   └── cve_2026_22557.kql       # Microsoft Sentinel / Defender KQL 쿼리
├── sigma/
│   └── cve_2026_22557.yml       # 경로 탐색 탐지를 위한 Sigma 규칙
├── splunk/
│   └── cve_2026_22557.spl       # Splunk SPL 검색
├── src/
│   └── lab/
│       └── nginx.conf           # 테스트용 랩 리버스 프록시 구성
├── sysmon/
│   └── sysmon_config_snippet.xml # Sysmon 구성 추가 항목
├── yara/
│   └── cve_2026_22557.yar       # HTTP 로그 스캔용 YARA 규칙
└── detect.sh                    # 독립 실행형 bash 탐지 스크립트

탐지 범위

아티팩트	탐지 대상
detect.sh	버전 확인, 로그 스캔, 네트워크 노출, 파일 무결성
yara/	HTTP 액세스 로그의 경로 탐색 패턴
sigma/	웹 서버 및 UniFi 로그용 범용 SIEM 규칙
kql/	Microsoft Sentinel 및 Defender for Endpoint 쿼리
splunk/	웹 및 UniFi 로그 소스용 Splunk SPL
sysmon/	java.exe / mongod에 의한 민감한 경로의 파일 읽기 이벤트

해결 방법

1. 해당 브랜치의 패치 버전으로 업데이트합니다(위 표 참조).
2. 포트 8443을 관리 네트워크로만 제한합니다. 인터넷에 절대 노출하지 마십시오.
3. 패치 적용 전에 UniFi 로그에서 경로 탐색 패턴을 검토합니다.
4. 침해가 의심되는 경우 자격 증명을 교체합니다.

참고 자료

• Ubiquiti 보안 권고 게시판 062
• NVD 항목