Telerik UI 패딩 오라클 취약점, 비인증 원격 코드 실행으로 연결되는 체인 — 공개 익스플로잇 공개

TantoSec의 개념 증명(PoC) 익스플로잇이 Telerik UI for ASP.NET AJAX의 AES-CBC "패딩 오라클(padding oracle)"을 비인증 원격 코드 실행으로 전환시킨다 — 단, 특정 비기본 설정 환경에서만 작동하며, Progress는 7월에 해당 체인을 패치했다. 현재 실제 악용 사례는 확인된 바 없다.

보안 기업 TantoSec이 Telerik UI for ASP.NET AJAX의 취약점을 표적으로 삼는 동작하는 익스플로잇 체인을 공개했다. 이 체인을 이용하면 인증받지 않은 공격자가 취약한 애플리케이션을 호스팅하는 서버에서 원격으로 코드를 실행할 수 있다.

Progress Software는 7월에 해당 결함을 패치했으며, 공격 성립에는 비기본 설정이 필요하다. 그러나 이번 공개는 상세한 분석 문서와 바로 실행 가능한 도구 및 두 가지 페이로드를 함께 제공해, 완전한 공격 경로가 처음으로 일반에 공개된 상황이다.

근본적인 취약점 자체가 새로운 것은 아니다. Progress는 2026년 7월 8일 버전 2026.2.708(2026 Q2 SP1)에서 수정을 배포했고, 7월 22일에 CVE와 권고문을 발행했다.

9월 7일에 달라진 점은 공격 방법과 도구의 공개다. TantoSec의 Marcio Almeida가 전체 체인을 상세히 설명하고, 명령줄 도구 telerik-rau-exploit를 공개했다. 또한 두 가지 혼합 모드(mixed-mode) DLL 페이로드 — 하나는 웹 셸을 디스크에 기록하고, 다른 하나는 완전히 메모리 내에서 실행되는 것 — 도 함께 공개했다.

Progress의 권고문에 따르면 이 체인은 버전 2010.1.309부터 2026.2.519까지의 RadAsyncUpload 파일 업로드 컨트롤에 영향을 미치며, 2026.2.708 이상은 패치 완료 버전이다.

가장 심각한 취약점은 CVE-2026-13181로 추적되는 타입 결정 결함으로, CVSS 점수 8.1("높음")을 받았다. "높은" 공격 복잡도 등급은 아래에서 설명할 설정 전제 조건을 반영한 것으로, 조건이 충족된 뒤의 실제 공격 난이도를 의미하지는 않는다.

취약 버전을 실행 중이라고 해서 무조건 악용 가능한 것은 아니다. TantoSec에 따르면 이 체인에는 "기본 설치에서는 충족되지 않는 전제 조건"이 있다: 페이지가 서버 측 핸들러가 업로드 결과를 읽는 RadAsyncUpload 컨트롤을 렌더링해야 하고, 애플리케이션이 해당 컨트롤에 대해 명시적이고 비기본적인 암호화 키로 설정되어 있어야 한다 — 아이러니하게도 Telerik이 보안 강화 설정으로 권장하는 바로 그 설정이다. 두 조건이 모두 충족되지 않은 사이트는 이 체인으로는 공격할 수 없다.

두 조건이 모두 충족되면 IIS 애플리케이션 풀 권한으로 코드가 실행된다. 진입점은 패딩 오라클(CVE-2026-13182)이다. 이 컨트롤이 클라이언트 측 상태를 AES-CBC로 암호화하되 무결성 검증을 적용하지 않기 때문에, 변조된 데이터를 수신한 서버는 복호화된 바이트의 패딩이 유효한지 여부 또는 JSON 파싱 실패 여부에 따라 다른 응답을 보낸다.

이 차이를 이용해 공격자는 키를 전혀 알지 못한 채로, TantoSec이 컨트롤의 고정 암호화 시드(seed)를 중심으로 구축한 기법을 통해 암호화된 업로드 설정을 복호화하고 위조할 수 있다.

동일한 위조를 통해 공격자는 임의의 .NET 타입을 지정할 수 있으며, 컨트롤은 이를 허용 목록(allowlist) 없이 결정(CVE-2026-13181)하고 역직렬화하여 공격자가 제어하는 위치에서 DLL을 로드하는 가젯(gadget)으로 활용한다.

업로드된 DLL은 로드 즉시 네이티브 코드를 실행하는 혼합 모드 어셈블리다. 속도는 빠르지 않다. TantoSec의 엔드투엔드 실행에는 약 127,000번의 오라클 요청이 필요했으며, 실험실 대상에 대해 약 1시간, 속도 제한이 걸린 서버에서는 더 오래 걸렸다.

애플리케이션이 상세 오류 메시지를 숨기더라도, 응답 타이밍을 통해 오라클을 읽을 수 있다. 이 변형은 CVE-2026-13183으로 추적된다.

2026년 취약점이 실제로 악용됐다는 확인된 보고는 없으며, 9월 7일 기준 CISA의 Known Exploited Vulnerabilities(실제 악용 확인 취약점) 목록에도 등재되지 않았다.

공격 표면 관리 벤더인 IONIX는 자사 사이트에서 "지속적인 악용 시도를 추적 중"이라고 밝혔지만, 날짜, 건수, 기타 구체적인 정보를 제공하지 않았으며, 실제 악용과 일반적인 인터넷 핸들러 스캔을 구분하지도 않았다.

해당 컴포넌트 자체는 실제 공격에 오랫동안 활용된 역사가 있다 — 그러나 이번 신규 취약점이 아닌 구버전 취약점을 통해서다. 2019년 동일 핸들러의 역직렬화 취약점인 CVE-2019-18935는 2017년 암호화 취약점과 연결되어 랜섬웨어 조직과 국가 배후 행위자에 의해 악용됐으며, 2022년 미국 연방기관 침해 사고에도 사용됐고 2025년까지도 악용이 계속됐다.

이러한 전례가 있기 때문에 새로운 취약점에서 확인된 악용 사례가 없더라도, 이 핸들러의 비인증 코드 실행 경로는 주목받을 수밖에 없다.

두 가지 추가 사항이 이 사안의 범위를 규정한다. Progress의 7월 보안 공지는 실제로 두 개의 별도 공격 체인을 다루고 있다: TantoSec이 상세히 분석한 RadAsyncUpload 체인, 그리고 CODE WHITE의 Markus Wulftange와 Progress가 발견한 RadPersistenceManager 및 RadDockLayout 컴포넌트의 별도 원격 코드 실행 체인(CVE-2026-13185, -13186, -13190)이다. 후자에 대한 공개 익스플로잇은 아직 없다.

그리고 RadAsyncUpload 체인 내에서, 예측 가능한 기본 키와 관련된 네 번째 취약점(CVE-2026-13184)은 공개된 시연에서 사용되지 않은 대체 공격 모드에만 적용된다.

대응 방법

AES-CBC 방식을 인증 암호화로 대체하고 전체 체인을 차단한 Telerik UI for ASP.NET AJAX 2026.2.708(2026 Q2 SP1) 이상으로 업그레이드한다.

Progress는 업그레이드를 유일한 공식 권고 사항으로 지정하며, 더 강력한 커스텀 키를 설정해도 도움이 되지 않는다고 경고한다. 오라클은 키를 전혀 필요로 하지 않기 때문이다.

즉시 업그레이드할 수 없는 사이트를 위해 Progress는 다음과 같은 임시 조치를 제시한다:

• customErrors를 RemoteOnly 또는 On으로 설정하면 공격자가 더 느린 타이밍 기반 변형으로 전환해야 한다.
• RadAsyncUpload가 필요하지 않다면 업로드 핸들러를 완전히 비활성화한다(Telerik.Web.DisableAsyncUploadHandler를 true로 설정).
• 커스텀 암호화 키를 제거하여 컨트롤이 AES와 HMAC를 사용하는 ASP.NET 머신 키로 폴백하도록 하거나, 런타임이 아닌 수동으로 강력한 머신 키를 생성한다.

Progress는 공격 성공 시 "표준 ASP.NET 오류 로그에 명백한 흔적이 남지 않는다"고 경고하므로, 방어자는 오류 서명 대신 행위 기반으로 탐지해야 한다: IIS 워커 프로세스(w3wp.exe)가 cmd.exe를 자식 프로세스로 생성하는지, 웹 루트에 새롭거나 예상치 못한 .aspx 파일이 생성됐는지, 또는 업로드 컨트롤의 임시 폴더나 App_Data 아래에 혼합 모드 DLL이 기록됐는지 확인한다.

TantoSec은 5월 22일 Progress에 취약점을 보고했으며, 수정 패치는 7월 8일 배포됐고 CVE는 7월 22일 발행됐다. Almeida는 타이밍 오라클 변형에 대해 동료 Justin Steven을 공동 기여자로 명시했다.