Omada Controller의 SAML 기능에서 발생한 CVE-2026-84941 취약점은 SAML IdP 메타데이터를 파싱하는 과정에서 일어나는 XML 외부 엔티티(XXE) 인젝션입니다. 공격자는 이 경로로 서버 내의 임의 로컬 파일을 읽어 민감한 정보를 노출시킬 수 있습니다.
CVE-2026-84941 개요: SAML SSO 정보 노출 취약점
TP-Link Omada Controller의 SAML 싱글사인온(SSO) 기능에서 정보 노출 취약점인 CVE-2026-84941이 보고되었습니다. 이 취약점은 사용자로부터 제공받은 SAML 메타데이터 검증이 불충분해서 발생하며, 인증된 사용자에게 권한 없는 민감 정보에 접근하는 경로를 열어 줍니다.
해당 취약점은 CWE-611(부적절한 XML 외부 엔티티 참조 제한)로 분류되며, XML 문서 내의 외부 엔티티를 처리하는 과정에서 시스템의 로컬 파일 접근을 허용하는 XXE(XML External Entity) 인젝션의 전형적인 모습입니다.
공격 조건: 인증된 사용자와 SAML 설정 권한이 전제
CVE-2026-84941 취약점을 악용하려면 단순한 네트워크 접근만으로는 부족하며, 다음 두 가지 전제 조건이 충족되어야 합니다.
- 인증된 접근: 공격자는 이미 Omada Controller에 로그인한 인증된 사용자여야 합니다.
- SAML 설정 권한: 인증된 사용자 중에서도 SAML 설정을 변경하거나 메타데이터를 업로드할 수 있는 관리자 수준의 권한이 필요합니다.
이런 조건 탓에 외부의 익명 공격자가 즉시 시스템을 장악하는 시나리오보다는, 권한을 가진 내부 사용자나 계정이 탈취된 상황에서의 권한 상승 및 정보 유출 위험이 더 큽니다.
XXE 인젝션과 임의 로컬 파일 읽기: 위험 메커니즘
이 취약점의 핵심 메커니즘은 ‘SAML IdP 메타데이터 파싱’ 단계에 있습니다. 공격자가 특수하게 조작된 XML 엔티티가 포함된 SAML 메타데이터 파일을 업로드하면, 컨트롤러의 XML 파서가 이를 처리하는 과정에서 외부 엔티티 참조를 허용하게 됩니다.
이렇게 되면 공격자는 서버의 파일 시스템에 존재하는 임의의 로컬 파일을 읽어 들이는 ‘임의 로컬 파일 읽기(Arbitrary Local File Read)’ 공격을 수행합니다. 시스템 설정 파일, 인증 키, 기타 민감한 구성 정보가 외부로 노출될 우려가 있습니다.
CVSS v4.0 6.9(Medium) 점수와 영향 벡터 해석
이 취약점의 위험도는 CVSS v4.0 기준 6.9점, ‘Medium(중간)’ 등급입니다. 상세 분석에 쓰이는 벤더 CVSS 벡터는 다음과 같습니다.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
벡터 정보를 분석하면 다음과 같은 보안 특성이 드러납니다.
- 공격 벡터(AV:N): 네트워크로 원격 공격이 가능합니다.
- 공격 복잡도(AC:L): 공격 방법이 복잡하지 않아 쉽게 수행됩니다.
- 권한 요구(PR:H): 공격에 높은 수준의 권한(SAML 설정 권한)이 필요합니다.
- 기밀성 영향(VC:H): 성공적인 공격 시 시스템 기밀성에 높은 영향을 미칩니다.
영향 제품과 수정 펌웨어 버전 전체 목록
TP-Link는 소프트웨어 컨트롤러와 하드웨어 컨트롤러 모두에서 해당 취약점을 확인하고 수정 버전을 배포했습니다. 영향 받는 제품은 수정 버전 미만의 버전들입니다.
| 제품군 | 모델/버전 | 수정 버전 (Fixed Version) |
|---|---|---|
| Software Controller | Windows V1 / Linux V1 | 6.2.14.11 |
| Hardware Controller | OC200 V1 | 1.41.11 Build 20260711 |
| Hardware Controller | OC200 V2 | 2.26.11 Build 20260711 |
| Hardware Controller | OC200 V3 | 3.3.11 Build 20260711 |
| Hardware Controller | OC220 V1 | 1.6.11 Build 20260711 |
| Hardware Controller | OC220 V2 | 2.5.11 Build 20260711 |
| Hardware Controller | OC300 V1 | 1.35.11 Build 20260711 |
| Hardware Controller | OC400 V1 | 1.13.11 Build 20260711 |
대응 방법: 최신 펌웨어 업데이트와 점검 체크리스트
TP-Link는 영향 받는 기기를 사용하는 관리자에게 취약점이 수정된 최신 펌웨어 버전으로 즉시 업데이트할 것을 강력히 권고하고 있습니다. 업데이트를 미룬 시스템은 여전히 취약한 상태로 남아 공격 위험에 놓입니다.
네트워크 관리자 및 보안 담당자는 다음 순서로 점검하면 됩니다.
- 버전 확인: 현재 운영 중인 Omada Controller(소프트웨어 및 하드웨어)의 버전이 위 표에 명시된 수정 버전보다 낮은지 먼저 확인하십시오.
- 펌웨어 업데이트: TP-Link 공식 경로에서 최신 버전의 펌웨어 또는 소프트웨어를 다운로드해 설치하십시오.
- 권한 검토: SAML 설정 권한을 가진 계정을 최소한으로 제한하고, 불필요한 관리자 권한 부여는 지양해 공격 표면을 줄이는 것이 좋습니다.
악용 가능성: EPSS 0.27%와 위협 시나리오 평가
현재 CVE-2026-84941의 실질적인 악용 가능성을 평가하는 EPSS(Exploit Prediction Scoring System) 모델 추정에 따르면, 향후 30일 내에 이 취약점이 실제로 악용될 확률은 0.27%(19.5 백분위)입니다.
숫자 자체는 통계적으로 낮은 편입니다. 공격에 높은 수준의 권한(PR:H)이 요구된다는 기술적 제약이 원인으로 분석됩니다. 그러나 권한을 가진 내부자의 공격이나, 관리자 계정 탈취 후 2차 공격으로 이어질 경우 치명적인 정보 유출로 번지므로, 확률과 무관하게 신속한 패치가 필요합니다.