[공격] 분석 — CVE-2025-20337

• 심각도 critical · CVSS 10.0 · EPSS 0.66294 · 악용난이도 easy · KEV

• 공격 표면: Cisco ISE 및 ISE‑PIC에서 /admin/v1/* 혹은 유사한 관리용 REST API 엔드포인트가 외부 네트워크에 노출됨. 주요 파라미터는 url, target, command 등 사용자 입력을 그대로 OS 명령어로 전달하는 형태이며, 인증·입력 검증이 전혀 이루어지지 않음(AV:N/PR:N/UI:N).
• 정찰: 공격자는 사전 스캔 도구로 ISE 관리 포트(보통 443)와 API 문서 경로를 탐색한다. OPTIONS 요청이나 /swagger.json 등을 통해 지원되는 엔드포인트 리스트를 획득하고, 특히 GET /admin/v1/root 와 같은 루트 권한 호출이 존재함을 확인한다.
• 초기 접근: 인증이 필요 없는 GET/POST 요청에 악의적인 페이로드를 삽입한다. 예시) POST https://<ISE>/admin/v1/exec?command=... 에서 command= 파라미터에 쉘 메타문자(;, ` 등)를 포함하면 입력값 검증 부재로 바로 OS 명령이 실행된다.
• 실행·권한 획득: 성공적인 호출 시 ISE 내부의 루트 셸이 생성되며, 프로세스 트리에서 java 혹은 tomcat 하위에 sh -c <payload> 가 보인다. 이는 CVSS S:C·C:H·I:H·A:H 를 그대로 실현한다.
• 지속: 루트 권한을 얻은 공격자는 시스템 서비스 파일(systemd)이나 cron 잡을 추가해 영구적인 접근을 확보할 수 있다(예: /etc/rc.local에 역쉘 삽입).
• 영향: 전체 ISE 인증·정책 엔진이 장악되며, 네트워크 전반의 접속 제어와 사용자 자격 증명 데이터가 유출·조작될 수 있다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한 API 엔드포인트가 존재하고, 공격자는 인증·권한 없이 바로 요청을 전송하면 되므로 AV:N/PR:N/UI:N·AC:L 벡터와 일치합니다. EPSS 0.66294라는 높은 실측 확률은 향후 12개월 내에 실제 악용이 발생할 가능성이 66% 이상임을 의미하며, KEV 목록에 등재된 점은 이미 공격자에게 활용 사례가 보고됐음을 입증합니다. 트리거 조건은 특정 API 호출 시 입력값 검증이 부족한 파라미터(예: JSON 바디 또는 URL 쿼리)로, 정교하게 조작된 데이터를 전송하면 루트 권한으로 코드 실행이 가능합니다. 공격 표면은 관리 인터페이스에 노출된 HTTP/HTTPS 포트와 해당 API 경로이며, 별도의 인증 절차가 없으므로 내부·외부 어느 위치에서든 네트워크 연결만 확보하면 exploitation이 가능합니다. 따라서 초기 정찰 단계에서 서비스 탐지 후 바로 악성 요청을 전송하는 단일 단계 공격 체인으로 구현될 수 있습니다. 이러한 특성 때문에 난이도는 “easy”로 평가되며, 실제 위협 수준이 매우 높다고 판단됩니다.

성공 시 공격자는 ① 루트 권한으로 OS를 완전 장악, ② ISE 정책 데이터(인증서, 사용자 프로파일) 탈취 및 변조, ③ 네트워크 전반에 걸친 인증 우회·세션 하이재킹을 수행할 수 있다.

• 입력 검증 부재 → 명령 주입: 현재 CVE는 입력값 검증 부족으로 직접 RCE가 발생한다(추정: CWE‑20/​CWE‑77).
• 토큰 탈취 체인: 동일 API에 존재하는 인증 토큰 발급 엔드포인트(GET /admin/token)가 별도로 보호되지 않을 경우, 공격자는 먼저 토큰을 획득한 뒤 /admin/v1/root 를 호출해 루트 권한을 얻는다(추정).
• 네트워크 분할 우회: 내부망에 배치된 다른 Cisco 제품(예: DNA Center)과 SSO 연동이 있을 경우, ISE가 제공하는 LDAP/Radius 정보를 이용해 추가 시스템에 동일 취약점이 전파될 수 있다.

• 로그 패턴: 비정상적인 GET/POST /admin/v1/* 요청이 인증 헤더 없이 발생하거나, command= 파라미터에 쉘 메타문자가 포함된 경우.
• 프로세스 감시: java 혹은 tomcat 하위에서 /bin/sh -c 가 실행되는 순간을 모니터링.
• 네트워크 트래픽: 외부 IP → ISE 관리 포트(443) 로의 빈번한 HTTP 요청, 특히 User‑Agent 가 비정형인 경우.

1. 즉시 패치 적용: Cisco가 제공한 3.3 Patch 6·3.4 Patch 1 등 최신 업데이트를 24시간 이내에 배포한다(우선순위 immediate, 교차검증 결과 일관성 확인).
2. API 접근 차단: 방화벽/ACL 로 외부에서 /admin/v1/* 및 토큰 발급 엔드포인트로의 직접 접근을 차단하고, 내부 관리망 전용으로 제한한다.
3. 인증·입력 검증 강화: 모든 관리 API에 강제 인증(Basic/TLS‑client cert) 적용과 함께 파라미터 화이트리스트(정규식) 기반 입력 검증을 도입한다.
4. 로그·SIEM 연동: 위 탐지 지표를 SIEM 규칙으로 구현해 실시간 알림을 설정하고, 의심스러운 API 호출이 발생하면 자동 차단하도록 한다.
5. 장기 방어: 네트워크 세분화와 최소 권한 원칙 적용으로 ISE 관리 인터페이스에 대한 접근 경로를 최소화한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.66294 · exploit=easy · in_scope=None