[분석가] 분석 — CVE-2025-32975

• 심각도 critical · CVSS 10.0 · EPSS 0.02417 · 악용난이도 easy · KEV

• 공격자는 외부에서 접근 가능한 SSO 토큰 발급 API에 조작된 파라미터를 전송하여 인증 검증을 우회합니다.
• PR:N·UI:N 조건으로 사전 자격 증명 없이 네트워크만 연결되면(AV:N) 자동화된 요청이 가능하며, 발급된 관리자 토큰을 이용해 관리 콘솔에 직접 로그인합니다.
• 이후 관리 명령 실행, 에이전트 배포, 설정 변경 및 데이터 추출 등 전체 시스템 장악으로 이어집니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 원격 네트워크를 통해 인증 없이 바로 접근 가능하고 공격 복잡도가 낮으며 사전 권한이나 사용자 동작이 필요 없음을 의미하므로 난이도는 “easy”로 평가됩니다. EPSS 점수 0.02417은 전체 취약점 중 약 2.4 % 수준의 실제 악용 확률을 나타내지만, KEV(Exploited Vulnerabilities) 리스트에 등재된 점을 감안하면 이미 공격자가 성공적으로 이용한 사례가 존재함을 보여줍니다. 이 취약점은 Quest KACE SMA 제품의

기술적 위험

• 인증 우회 → 완전한 관리자 권한 획득
• 관리 콘솔·에이전트 배포 기능 남용 → 전사 엔드포인트에서 원격 코드 실행 가능
• 설정 변경·계정 생성·데이터 내보내기 등 모든 내부 작업을 무제한 수행

비즈니스 위험

• 서비스 가용성 손실 : 관리 서버 및 연결된 수천 대 엔드포인트가 차단될 수 있음.
• 규제·컴플라이언스 위반 : 무단 데이터 접근은 GDPR, HIPAA 등 개인정보 보호법 위반 가능성이 존재합니다.
• 기업 신뢰도 하락 : KACE SMA는 IT 자산 관리 핵심 솔루션이므로 침해 시 고객 및 파트너에게 부정적 이미지가 전파됩니다.

영향 제품·노출 규모

• 취약 대상: Quest KACE Systems Management Appliance 13.0‑14.1 전체(5개 메이저 릴리즈, 각각 다수 마이너 빌드) → 다중 버전에서 동일 모듈을 공유하므로 공급망 차원에서 광범위한 노출 가능성이 있습니다(품질 신호에 근거).
• 교차검증 결과: 여러 보안 데이터베이스에서 일관된 정보가 확인되었습니다.

우선순위 판단 근거

• CVSS 3.1 10.0 (Critical)·KEV 등재·EPSS 0.02417(≈2.4% 연간 악용 확률)·Exploit easy 로 평가되어 “immediate”(24시간 내) 대응이 권고됩니다.

• SSO 인증 흐름에서 검증 누락은 흔히 SAML 응답 위조(CWE‑307) 혹은 세션 고정(CWE‑384) 과 결합될 수 있습니다. 현재 확인된 연계 CVE는 없으며, 추정 수준의 위험으로 간주합니다.

• 동일 IP·User‑Agent에서 짧은 시간 내 다수 토큰 발급 요청 감지
• 인증 없이 관리자 API(예: /api/v1/config, /api/v1/agents) 호출 로그 포착
• 토큰 응답에 admin·superuser 플래그가 비정상적으로 포함된 경우
• 위 패턴을 SIEM에서 실시간 알림 규칙으로 구현하면 탐지 지연을 최소화할 수 있으나, 탐지만으로는 차단이 어렵습니다.

즉시 조치

1. 공식 패치를 적용하여 버전을 13.0‑13.0.385, 13.1‑13.1.81, 13.2‑13.2.183, 14.0‑14.0.341(Patch 5), 14.1‑14.1.101(Patch 4) 이상으로 업그레이드합니다.
2. 토큰 발급 API에 IP 화이트리스트와 레이트‑리밋을 적용해 외부에서의 무차별 요청을 차단합니다.
3. 가능한 경우 외부 SSO 엔드포인트를 일시적으로 비활성화하고, 내부 인증 방식으로 전환합니다.

장기 방어

• SSO 흐름 전체에 입력 검증·토큰 바인딩(클라이언트 IP·User‑Agent) 강화 및 코드 리뷰 수행
• 토큰 발급·사용 로그를 중앙 SIEM에 수집하고, 이상 징후 자동화 알림 체계 구축
• 취약점이 KEV에 등재된 점을 고려해 정기적인 패치 관리와 위험 기반 우선순위 정책을 운영 환경에 적용

위 조치를 병행하면 인증 우회로 인한 전체 관리자 탈취 위험을 효과적으로 차단하고, 탐지·대응 역량을 강화할 수 있습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.02417 · exploit=easy · in_scope=None