관련 HPE 구성 요소에서 대체 경로 또는 채널을 이용한 인증 우회(CWE-288) 결함으로 인해 공격자는 네트워크를 통해 낮은 복잡도·권한 불필요·사용자 상호작용 없이 공격할 수 있습니다. 이 취약점은 범위를 변경하며 기밀성과 무결성에 높은 영향을 줍니다. 공격자는 악성 요청을 구성해 인증을 우회한 뒤 시스템 제어권이나 민감 데이터를 획득할 수 있습니다. 패치되지 않은 관련 HPE 구성 요소 전체가 영향받으며, 네트워크 도달성만으로 원격 악용이 가능합니다.
컴포넌트
HPE(Hewlett Packard Enterprise)는 엔터프라이즈 IT 인프라, 소프트웨어, 서비스를 제공하며 구성 요소는 데이터센터와 클라우드 환경에서 널리 사용됩니다.
위험
일반 사용자에서 관리자로: 피해자가 관리자 권한으로 영향받는 구성 요소를 실행 중이면 공격자도 동일 권한을 얻을 수 있음
완전한 시스템 제어: 공격자는 이 취약점으로 피해자 시스템에서 임의 코드를 실행하고, 사용자 권한에 따라 프로그램 설치, 데이터 열람/변경/삭제 또는 완전 권한의 새 계정 생성이 가능
사용자 상호작용 없는 공격: 원격 네트워크 공격으로 사용자 상호작용 없이 인증 우회를 악용해 무단 접근을 얻을 수 있음
관련 HPE 구성 요소에서 메모리 버퍼 경계 내 연산의 부적절한 제한(CWE-119)으로 심각한 결함이 있습니다. 공격자는 네트워크를 통해 낮은 복잡도·권한 불필요·사용자 상호작용 없이 공격할 수 있습니다. 악용에 성공하면 시스템 범위가 바뀌고 기밀성·무결성·가용성에 높은 영향을 주며, 원격 코드 실행이나 완전한 시스템 제어 상실로 이어질 수 있습니다. 패치되지 않은 영향받는 HPE 구성 요소 전체가 대상이며, 사용자 상호작용 없이 네트워크를 통해 완전 제어가 가능합니다.
컴포넌트
HPE(Hewlett Packard Enterprise)는 엔터프라이즈 컴퓨팅, 스토리지, 네트워크 솔루션을 제공하며 소프트웨어 구성 요소는 데이터센터와 기업 IT 인프라에서 널리 사용됩니다.
위험
일반 사용자에서 관리자로: 피해자가 관리자 권한으로 영향받는 서비스를 실행 중이면 공격자도 동일 권한을 얻을 수 있음
완전한 시스템 제어: 공격자는 이 취약점으로 피해자 시스템에서 임의 코드를 실행하고, 사용자 권한에 따라 프로그램 설치, 데이터 열람/변경/삭제 또는 완전 권한의 새 계정 생성이 가능
사용자 상호작용 없는 공격: 원격 네트워크 요청만으로 취약점을 유발할 수 있으며 클릭 등 상호작용이 불필요. 공격 벡터는 네트워크(NETWORK)에서 직접 도달 가능
CGM CLININET 2026.MS3 이전 버전에서 HTTP 기반 관리 API 모듈이 입력 데이터에 대한 엄격한 검증이 없어 신뢰할 수 없는 데이터의 역직렬화(CWE-502) 결함이 있습니다. 공격자는 해당 API에 조작된 Java 직렬화 객체를 보내 역직렬화 과정에서 임의 코드 실행을 유발하고 root 권한으로 서버를 완전히 제어할 수 있습니다. 2026.MS3로 업데이트되지 않은 모든 CGM CLININET 사용자가 영향받으며, 특히 동일 LAN 환경이 위험합니다. 인증 없이 공격 가능하며 성공 시 서버가 완전히 장악됩니다.
컴포넌트
CGM CLININET은 의료 정보 시스템 소프트웨어로, 서버 측 관리 모듈은 HTTP API를 통해 Java 객체 직렬화로 데이터를 교환합니다.
위험
root 권한으로 임의 코드 실행: 공격자는 최고 권한으로 임의 명령을 실행해 시스템을 완전 제어할 수 있음
완전한 시스템 제어: 악성코드 설치, 민감한 의료 데이터 탈취, 중요 파일 변조/삭제, 완전 권한의 새 계정 생성이 가능
LAN 내 원격 공격: 동일 LAN의 공격자는 노출된 API에 직접 악성 요청을 보내 사용자 상호작용 없이 취약점을 유발할 수 있음
