[CVE] CVE-2026-21765 (CVSS 8.8 · 높음) [CWE-276, CWE-732]

핵심 요약

HCL BigFix Platform에서 개인 암호화 키에 대한 과도하게 허용적인 파일 시스템 권한(CVE-2026-21765, CVSS 8.8) 취약점이 발견되었습니다. 이 취약점은 Windows 호스트 머신에서 개인 암호화 키 파일에 대한 접근 제어 목록(ACL)이 부적절하게 설정되어 있어, 공격자가 이를 악용하여 민감한 암호화 키를 탈취하거나 권한을 상승시킬 수 있는 잠재적 위험을 내포합니다. 이는 MITRE ATT&CK의 T1222(File and Directory Permissions Modification) 및 T1552.004(Private Keys) 전술과 연관됩니다. IT 감사인은 핵심 시스템의 암호화 키 관리 정책 및 파일 시스템 권한 설정의 적정성을 점검하고, 관련 솔루션의 보안 패치 적용 여부를 최우선으로 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치HCL BigFix Platform이 설치된 모든 Windows 호스트 머신에서 CVE-2026-21765 취약점에 대한 최신 보안 패치를 즉시 적용할 것을 권고함.
• ✔기술적 조치HCL BigFix Platform에서 사용되는 개인 암호화 키 파일 및 관련 디렉터리에 대한 파일 시스템 권한(ACL)을 최소 권한 원칙에 따라 재설정하고, 불필요한 모든 접근 권한을 제거할 것을 권고함.
• ✔기술적 조치중요 암호화 키는 하드웨어 보안 모듈(HSM) 또는 전용 키 관리 시스템(KMS)을 통해 안전하게 관리하고, 키 파일이 일반 파일 시스템에 직접 저장되는 것을 최소화할 것을 권고함.
• ✔관리적 조치암호화 키 관리 정책 및 절차를 검토하여 개인 암호화 키의 생성, 저장, 사용, 폐기 전 과정에서 접근 권한 통제 및 무결성 보호를 위한 구체적인 지침을 강화하고, 해당 지침의 준수 여부를 정기적으로 감사할 것을 권고함.
• ✔관리적 조치정기적인 취약점 점검 및 모의 해킹을 통해 시스템 및 애플리케이션의 파일 시스템 권한 설정 취약점을 식별하고 개선하는 프로세스를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문