Synology DSM 파일 접근·서비스 중단 취약점과 업데이트

무슨 일이 생겼나요

KISA 보호나라는 Synology DSM의 보안 취약점을 해결하기 위한 업데이트를 권고했어요. 여러 사람이 사용하는 보관실에 비유하면, 출입 확인이나 보관함 이용 권한을 다루는 부분에 허점이 생긴 상황이에요. 이번 취약점은 로그인 처리, 권한 배정, 데이터 출력 처리, 업로드 파일의 이름과 경로 처리에 각각 관련돼 있어요.

보호나라 게시일은 2026-10-30이며, 대상은 DSM 7.2.1, DSM 7.2.2, DSM 7.3, DSM 7.4예요. 취약점을 이용하면 파일을 읽거나 쓰거나, 서비스가 정상적으로 응답하지 못하게 만들 수 있어요. 다만 취약점마다 가능한 파일 작업과 공격 조건이 달라요. 특히 LDAP API와 Upload API의 취약점은 원격에서 인증을 마친 사용자가 이용할 수 있는 문제로 설명돼 있어요.

관련 취약점은 CVE-2026-13639, CVE-2026-13673, CVE-2026-13684, CVE-2026-6205예요. CVE는 개별 보안 취약점을 구분하는 식별자예요. 이번에는 같은 DSM 계열에서 이 취약점들의 해결 버전이 같으므로, 해당 계열의 해결 버전 이상인지 확인하는 것이 업데이트 판단의 핵심이에요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

CVE-2026-13639는 로그인 처리에서 무작위성이 충분하지 않은 문제이며, 분류는 CWE-331이에요. 무작위성은 보안에 쓰이는 값을 쉽게 예상할 수 없도록 하는 성질이에요. 이 성질이 부족하면 로그인 처리의 보호 기능에 허점이 생길 수 있어요. 이 취약점은 원격 공격자가 임의의 파일을 읽거나 쓰고, 서비스 거부를 일으킬 수 있는 문제예요. 임의의 파일은 공격자가 대상으로 정한 파일을 뜻하고, 서비스 거부는 정상적인 이용을 방해하는 상태를 뜻해요. CVSS 3.1 점수는 9.8이며 심각도는 CRITICAL로 분류돼 있어요. CVSS는 취약점의 기술적 심각도를 평가하는 기준으로, 이 점수가 개별 장비의 공격 발생 확률을 뜻하지는 않아요.

CVE-2026-13673은 중요한 자원에 접근 권한을 잘못 배정하는 문제이며, 분류는 CWE-732예요. 문제가 있는 부분은 사용자·조직 정보 등을 조회하는 규약인 LDAP를 다루는 API예요. API는 프로그램이 다른 기능에 요청을 보내고 결과를 받는 연결 창구예요. 이 취약점은 원격에서 인증을 마친 사용자가 임의의 파일을 읽거나 쓰고, 서비스 거부를 일으킬 수 있게 해요. CVSS 3.1 점수는 8.8이며 심각도는 HIGH예요. 인증이 필요하다는 조건이 있으므로, 로그인과 별개로 각 요청에 적절한 권한을 적용하는 부분이 중요하다는 점을 보여줘요.

CVE-2026-13684는 웹 요청을 애플리케이션에 전달하는 연결 방식인 SCGI에서 출력 데이터를 적절하게 변환하거나 특수문자를 처리하지 못하는 문제예요. 분류는 CWE-116이에요. 인코딩이나 이스케이프는 데이터가 전달되는 문맥에서 특별한 의미로 해석되지 않도록 표현을 바꾸는 처리를 말해요. 이 처리가 부적절한 취약점으로 인해 원격 공격자가 임의의 파일을 읽거나 쓰고, 서비스 거부를 일으킬 수 있어요. CVSS 3.1 점수는 9.8이며 심각도는 CRITICAL이에요. 구체적으로 어떤 입력이나 요청으로 문제가 발생하는지까지는 단정할 수 없어요.

CVE-2026-6205는 Upload API에서 파일 이름이나 저장 경로가 외부의 영향을 받는 문제이며, 분류는 CWE-73이에요. 파일을 올리는 요청을 처리하면서 파일의 이름이나 위치에 대한 통제가 충분하지 않은 유형으로 이해할 수 있어요. 원격에서 인증을 마친 사용자가 임의의 파일을 쓰거나 서비스 거부를 일으킬 수 있으며, 이 취약점의 영향 설명에는 파일 읽기가 포함돼 있지 않아요. CVSS 3.1 점수는 8.1이며 심각도는 HIGH예요. 이번 취약점들의 NVD 게시일은 모두 2026-09-18이지만, 게시일과 점수만으로 개별 장비에서 문제가 발생했는지 판단할 수는 없어요.

누가 영향을 받나요

일반 사용자

DSM 장비에 파일을 보관하거나 다른 사람과 함께 사용하는 분이라면, 이번 문제는 파일의 비밀 유지와 내용 보존, 서비스 이용에 관련돼 있어요. 파일 읽기가 가능한 취약점은 내용 노출로, 파일 쓰기가 가능한 취약점은 내용 변경으로 이어질 수 있어요. 서비스 거부가 발생하면 필요한 때 파일이나 관련 기능을 이용하지 못할 수 있어요. 이는 취약점이 이용됐을 때 가능한 영향이며, 내 장비에서 이미 그런 일이 일어났다는 뜻은 아니에요.

사용자가 직접 관리하지 않는 장비라면 담당자에게 DSM의 전체 버전과 업데이트 여부를 확인해 달라고 요청하세요. DSM 7.2.1이나 DSM 7.3처럼 계열 이름만 확인해서는 해결 여부를 알 수 없어요. 이번 권고는 뒤에 붙는 빌드와 업데이트 표기까지 포함한 버전을 기준으로 영향을 구분해요.

개발자

DSM과 연동하는 기능을 개발하거나 운영한다면 로그인 성공 여부와 파일 접근 권한을 같은 의미로 취급하지 않는 것이 중요해요. 이번 LDAP API와 Upload API 취약점은 인증을 마친 원격 사용자도 공격 조건에 포함돼 있어요. 따라서 연동에 사용하는 계정으로 로그인할 수 있다는 사실만으로 해당 요청이 안전하다고 판단해서는 안 돼요. 연동 대상 DSM이 해결 버전에 도달했는지 확인해야 해요.

이번 취약점은 로그인에 필요한 무작위성, 중요한 자원에 대한 권한 배정, 출력 데이터 처리, 업로드 파일 경로 통제가 서로 다른 보호 지점이라는 점을 보여줘요. 연동 프로그램을 수정했다는 사실만으로 DSM 자체의 취약점 해결을 대신할 수는 없어요. DSM 업데이트 뒤에는 실제로 사용하는 인증·파일 조회·업로드 기능이 의도대로 작동하는지 확인하되, 취약점을 재현하려고 임의의 파일 접근을 시도할 필요는 없어요.

서버·장비 담당자

장비 담당자는 관리 대상마다 DSM 계열과 전체 버전을 함께 확인해야 해요. DSM 7.2.1은 7.2.1-69057-12 미만, DSM 7.2.2는 7.2.2-72806-9 미만, DSM 7.3은 7.3.2-86009-4 미만, DSM 7.4는 7.4-90075 미만이 영향 범위예요. 이 기준은 이번에 다루는 취약점 모두에 동일하게 적용돼요. 서로 다른 계열의 버전 숫자를 섞어서 비교하지 말고, 각 계열에 해당하는 기준을 적용하세요.

원격 접근이 가능한 문제이며 일부 취약점은 인증된 사용자가 조건에 포함되므로, 외부 노출 여부와 계정 접근 범위를 함께 살펴보는 것이 좋아요. 다만 노출을 줄이거나 계정을 제한했다는 이유로 해결 버전 적용을 완료한 것으로 처리하면 안 돼요. 조치 완료 여부는 실제 설치된 DSM 버전으로 확인하고, 서비스가 정상적으로 동작하는지도 별도로 점검하세요.

지금 할 일

1. 사용 중이거나 관리 중인 장비에서 DSM의 계열과 전체 버전을 확인하세요. DSM 7.2.1, DSM 7.2.2, DSM 7.3, DSM 7.4 중 어느 계열에 해당하는지와 뒤에 붙는 버전 표기를 함께 기록하세요.
2. 해당 계열의 영향 기준과 비교하세요. DSM 7.2.1은 7.2.1-69057-12 미만, DSM 7.2.2는 7.2.2-72806-9 미만, DSM 7.3은 7.3.2-86009-4 미만, DSM 7.4는 7.4-90075 미만이면 이번 업데이트 대상이에요.
3. 제조사 공지에서 사용 중인 장비에 적용할 업데이트와 절차를 확인하세요. 업무에 사용하는 장비라면 파일 이용과 연동 기능의 확인을 담당할 사람, 업데이트를 진행할 시간을 함께 정하세요.
4. 제조사 공지의 업데이트 절차를 따르세요. 해결 기준은 DSM 7.2.1의 7.2.1-69057-12 이상, DSM 7.2.2의 7.2.2-72806-9 이상, DSM 7.3의 7.3.2-86009-4 이상, DSM 7.4의 7.4-90075 이상이에요.
5. 업데이트 후 실제 설치 버전을 다시 확인하고, 평소 사용하는 로그인과 파일 작업이 정상인지 점검하세요. 장비별 적용 결과를 기록해 아직 영향 범위에 남은 장비가 있는지 구분하세요.

바로 업데이트하기 어렵다면

• 제조사 공지에서 적용 가능한 임시 조치와 주의사항을 확인한 뒤, 업무상 필요하지 않은 외부 접근을 줄이는 방안을 검토하세요. 이는 노출을 줄이기 위한 조치이며 DSM 업데이트를 대신하지는 않아요.
• 제조사 공지의 안내를 확인한 뒤, DSM에 접근할 수 있는 사용자와 연결 범위를 필요한 수준으로 제한하는 방안을 검토하세요. LDAP API와 Upload API의 취약점은 인증된 사용자도 조건에 포함되므로 계정이 있다는 사실만으로 안전하다고 판단하지 마세요.

업데이트 후 확인

• 설치된 전체 버전이 해당 계열의 해결 기준 이상인지 확인하세요. DSM 7.2.1은 7.2.1-69057-12 이상, DSM 7.2.2는 7.2.2-72806-9 이상, DSM 7.3은 7.3.2-86009-4 이상, DSM 7.4는 7.4-90075 이상이어야 해요.
• 평소 사용하는 계정으로 로그인하고, 허용된 파일의 조회와 저장이 정상적으로 되는지 확인하세요. 권한이 다른 계정을 운영한다면 각 계정이 허용된 범위 안에서 작동하는지도 살펴보세요.
• LDAP 또는 파일 업로드 기능을 사용하는 환경이라면 해당 기능과 연결된 업무가 정상인지 확인하세요. 버전 확인 결과와 기능 점검 결과를 함께 남겨 조치 완료 여부를 판단하세요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://www.synology.com/en-global/security/advisory/Synology_SA_26_13

자주 묻는 질문

Q. DSM 7.3을 사용 중이면 업데이트가 필요한가요?

DSM 7.3이라는 계열 이름만으로는 판단할 수 없어요. 전체 버전이 7.3.2-86009-4 미만이면 이번 영향 범위에 해당하고, 해결 기준은 7.3.2-86009-4 이상이에요. 제조사 공지의 업데이트 절차를 따르세요.

Q. 로그인할 수 있는 사람만 이용하는 장비도 확인해야 하나요?

확인이 필요해요. CVE-2026-13673과 CVE-2026-6205는 원격에서 인증을 마친 사용자가 이용할 수 있는 문제예요. 계정을 가진 사람만 접속한다는 조건으로 해결 여부를 판단하지 말고, 설치된 DSM의 전체 버전을 해당 계열의 해결 기준과 비교하세요.

Q. 실제로 공격에 이용되고 있나요?

CISA KEV 에는 아직 등재되지 않았다. 이 상태만으로 실제 악용이 있다고도 없다고도 판단할 수 없어요. 업데이트 필요 여부는 해당 DSM 버전이 영향 범위에 포함되는지를 기준으로 확인하세요.