슬래시 몇 개 뒤에 숨은 파일들 — UniFi OS 경로 탐색 결함을 방어자 눈으로 따라가기

이미지 출처: CISA KEV

네트워크 장비를 다루다 보면 이런 순간이 온다. 컨트롤러 웹 화면은 멀쩡히 떠 있고, 장비도 정상으로 보이는데, 어느 날 접속 로그를 뒤지다가 주소창에 들어갈 일이 없는 점 두 개와 슬래시가 줄지어 박힌 요청을 발견하는 것. CVE-2026-34909로 정리된 Ubiquiti UniFi OS의 경로 탐색(Path Traversal) 결함은 바로 그 '점 두 개와 슬래시'가 어디까지 닿을 수 있는지에 관한 이야기임.

핵심 요약

• UniFi OS에서 입력으로 들어온 파일 경로를 충분히 정규화하지 않아, 의도된 디렉터리 밖의 파일을 읽어낼 수 있는 경로 탐색 취약점임.
• 공격의 핵심은 화려한 익스플로잇이 아니라 ../ 같은 상위 디렉터리 이동 문자열을 경로에 끼워 넣는 단순한 발상임.
• 방어자는 관리 인터페이스 노출 차단·최신 펌웨어 적용·웹 접근 로그의 경로 패턴 탐지, 이 세 축으로 막아야 함.

경로 탐색이 위험한 이유

경로 탐색은 이름 그대로 '파일 경로를 따라 위로 거슬러 올라가는' 공격임. 웹 애플리케이션이 사용자가 넘긴 파일명이나 경로 일부를 그대로 받아 디스크의 파일을 열 때, 공격자가 거기에 상위 폴더로 올라가는 문자열을 섞으면 원래 보여주려던 폴더 밖의 파일까지 노출될 수 있음. 설정 파일, 인증 관련 정보, 내부 경로 구조 같은 것들이 그렇게 새어 나감. UniFi OS처럼 라우터·스위치·AP를 한곳에서 관리하는 컨트롤러는 네트워크 전체의 설계도를 품고 있어서, 파일 한 줄이 새는 것이 곧 망 구조가 통째로 드러나는 일로 이어질 수 있음.

공격은 생각보다 단순하다

개념만 짚자면 이렇다. 정상 요청이 특정 리소스를 가리키는 경로를 담아 보낸다면, 공격자는 그 경로 자리에 상위로 거슬러 올라가는 표현을 반복해 넣어 서버가 의도하지 않은 위치를 가리키게 만든다. 인코딩을 한 번 더 씌우거나 중첩시켜 단순 필터를 우회하려는 변형도 흔하다. 여기서 중요한 건 실제 페이로드가 아니라 발상 자체임. "입력으로 받은 경로를 의심 없이 신뢰하면 어디까지 위험해지는가"라는 질문이 이 CVE의 본질이고, 그래서 방어 역시 화려한 장비가 아니라 '입력 검증과 노출 통제'라는 기본기로 돌아가게 됨.

방어자가 먼저 볼 것 — 노출 면 줄이기

가장 먼저 점검할 건 관리 인터페이스가 인터넷에 직접 열려 있는지임. UniFi 컨트롤러 화면이 공인 IP로 누구나 접근 가능한 상태라면, 취약점의 존재 여부와 무관하게 그 자체가 위험 신호라고 보면 됨. 개인적으로는 관리 화면을 VPN 뒤로 숨기거나, 접근 가능한 출발지 IP를 화이트리스트로 묶어두는 방식을 추천함. 망을 나눠 관리 세그먼트를 일반 사용자 트래픽과 분리해 두면, 설령 결함이 있어도 닿을 수 있는 길 자체가 좁아짐.

탐지 — 로그에서 무엇을 찾는가

경로 탐색은 흔적이 비교적 또렷한 편임. 웹 접근 로그에서 상위 디렉터리로 거슬러 올라가는 점·슬래시 조합이나, 같은 의미를 다른 방식으로 인코딩한 흔적이 보이면 의심해야 함. 다음을 중심으로 살펴볼 만함.

• 평소 호출되지 않던 정적 리소스 경로로 향하는 비정상적으로 긴 요청
• 응답 코드가 200과 403, 404 사이를 빠르게 오가는 연속 스캔성 패턴
• 같은 출발지에서 짧은 시간에 다양한 경로 변형을 시도하는 흐름
• 설정·인증 관련 파일명이 요청 경로 끝에 등장하는 경우

WAF나 리버스 프록시를 앞단에 두고 있다면, 상위 경로 이동 패턴을 차단하는 규칙을 켜두는 것도 한 겹의 보험이 됨. 다만 규칙 우회 변형이 늘 존재하므로, 차단은 어디까지나 보조 수단으로 두고 본질적인 해결은 패치라는 점을 잊지 않는 게 좋음.

마무리 — 결국은 기본기

제조사가 배포하는 최신 UniFi OS로 올려두는 것이 가장 확실한 마무리임. 버전 표기나 영향 범위는 공급사 공지를 직접 확인하는 습관을 들이는 게 안전하고, 업데이트 전까지는 노출 차단과 로그 감시로 시간을 버는 식으로 접근하면 됨. 결국 이 취약점이 우리에게 남기는 교훈은 한 줄로 줄어든다. 입력으로 들어온 경로는 사용자가 준 데이터일 뿐, 절대 신뢰의 대상이 아니다. 오늘 자기 망의 관리 화면이 바깥으로 열려 있지는 않은지 한 번씩 점검해보면 좋겠음. 직접 확인한 로그 패턴이나 막아둔 방법이 있으면 댓글로 공유해 주시면 같이 정리해보아요.