시큐포커스NOW관심 0
홈›KISA 공식정보›취약점정보
취약점정보긴급KISA 공식정보

CVE-2021-26625 | 투비소프트 Nexacro 임의 파일 다운로드 취약점

투비소프트社의 NEXACRO 17에서 런타임 엔진을 최신 버전으로 유지하기 위한 자동 업데이트 기능에 있어 엔진 설치 파일의 버전 이외에 다른 검증 장치가 없어 이를 이용해 임의 파일을 다운로드하고 실행할 수 있는 취약점

게시일 2022.04.19조회 0원문 확인 2026.08.16 15:31

1개요

  • 투비소프트社의 NEXACRO 17에서 런타임 엔진을 최신 버전으로 유지하기 위한 자동 업데이트 기능에 있어 엔진 설치 파일의 버전 이외에 다른 검증 장치가 없어 이를 이용해 임의 파일을 다운로드하고 실행할 수 있는 취약점

취약점 정보 - 취약점 종류, 영향, 심각도, CVSS 점수, CVE-ID의 정보를 제공

취약점 종류영향심각도CVSS 점수CVE-ID
불충분한 검증임의 파일 다운로드, 실행High8.8CVE-2021-26625

2설명

  • NEXACRO 17은 런타임 엔진을 최신 버전으로 유지하기 위해 자동 업데이트 기능을 제공하며, 자동 업데이트는 서버에서 엔진 설치 파일을 다운로드하고 실행하는 형태로 진행
  • 런타임 엔진 업데이트와 관련된 정보는 서버에 저장된 start.json 파일의 resource 섹션에 있으며, 런타임 엔진 업데이트 파일경로와 버전 값이 사용자의 환경과 일치할 경우 NEXACRO 17이 실행되었을 때 start.json 파일을 확인하고, 현재 시스템에 설치된 런타임 엔진의 버전과 비교한 뒤 최신 버전이 아니면 런타임 엔진 업데이트 파일을 다운로드하고 실행
  • 이러한 검증 로직의 미흡함을 이용해 버전 값 변조만으로 파일 다운로드 작업을 실행시킬 수 있으며, 다운로드 받은 파일의 실행 또한 가능

3영향받는 제품 및 버전

영향받는 제품 및 버전 - 제품, 영향 받는 버전, 환경의 정보를 제공

제품영향 받는 버전환경
Nexacro 1717.1.2.600 및 이전 버전윈도우

4해결 방안

  • 취약한 버전의 제품 이용자는 Nexacro 버전 17.1.3.700 이상으로 설치

5기타

  • 취약점 KrCERT 홈페이지를 통해 백정운님께서 제공해주셨습니다.

6참고사이트

KISA 보호나라&KrCERT/CChttps://www.boho.or.kr/정보보호 서비스https://www.boho.or.kr/kr/subPage.do?menuNo=205007서비스 신청하기https://www.boho.or.kr/kr/apply/list.do?menuNo=205003
나머지 참고사이트 27개 보기
침해사고 원인분석 및 대응조치https://www.boho.or.kr/kr/subPage.do?menuNo=205004사이버위협https://www.boho.or.kr/kr/bbs/list.do?menuNo=205024&bbsId=B0000342정보보호 용어https://www.boho.or.kr/kr/bbs/list.do?menuNo=205025&bbsId=B0001020취약점 정보https://www.boho.or.kr/kr/bbs/list.do?menuNo=205023&bbsId=B0000302침해사고 신고https://www.boho.or.kr/kr/subPage.do?menuNo=205033신고하기https://www.boho.or.kr/kr/report/list.do?menuNo=205034보안상담https://www.boho.or.kr/kr/consult/consultForm.do?menuNo=205035알림마당https://www.boho.or.kr/kr/bbs/list.do?menuNo=205020&bbsId=B0000133공지사항https://www.boho.or.kr/kr/bbs/list.do?menuNo=205022&bbsId=B0000132보고서/가이드https://www.boho.or.kr/kr/bbs/list.do?menuNo=205021&bbsId=B0000127카드뉴스https://www.boho.or.kr/kr/bbs/list.do?menuNo=205090&bbsId=B0001030자세히 알아보기https://www.boho.or.kr/kr/bbs/list.do?menuNo=205027&bbsId=B0000030KrCERT/CChttps://www.boho.or.kr/kr/subPage.do?menuNo=205028Vision&Missionhttps://www.boho.or.kr/kr/subPage.do?menuNo=205029Traffic Light Protocolhttps://www.boho.or.kr/kr/subPage.do?menuNo=205065Contacthttps://www.boho.or.kr/kr/subPage.do?menuNo=205030APCERT AGM & Conference 2026https://www.boho.or.kr/kr/subPage.do?menuNo=205122ENGhttps://www.boho.or.kr/en/main.do개인 서비스https://www.boho.or.kr/kr/subPage.do?menuNo=205116이용안내https://www.boho.or.kr/kr/subPage.do?menuNo=205043FAQhttps://www.boho.or.kr/kr/bbs/list.do?menuNo=205056&bbsId=B0000131개인정보처리방침https://www.boho.or.kr/kr/bbs/list.do?menuNo=205071&bbsId=B0001010보호나라 RSS 서비스https://www.boho.or.kr/kr/subPage.do?menuNo=205121홈https://www.boho.or.kr/kr/main.do이전 글 CVE-2021-26626 | 투비소프트 XPLATFORM 임의 파일 실행 취약점https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000302&searchWrd=&menuNo=205023&pageIndex=5&categoryCode=&nttId=66659다음 글 CVE-2021-26629 | 투비소프트 XPLATFORM Path Traversal 취약점https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000302&searchWrd=&menuNo=205023&pageIndex=5&categoryCode=&nttId=66672목록으로https://www.boho.or.kr/kr/bbs/list.do?searchCnd=&bbsId=B0000302&searchWrd=&menuNo=205023&pageIndex=5&categoryCode=
KISA 공식 원문 본문과 표를 구조화했습니다. 제품명·버전·조치사항은 KISA 원문을 최종 기준으로 확인하세요.