[공격] 분석 — CVE-2020-6287

• 심각도 critical · CVSS 10.0 · EPSS 0.94719 · 악용난이도 easy · KEV

본 취약점은 LM Configuration Wizard 모듈의 인증 확인 로직(Authentication Check)이 완전히 누락된 결함을 이용한다. 공격자는 세션이나 유효한 자격 증명 없이 HTTP 요청만으로 시스템 설정 권한을 획득한다.

• 공격 표면 매핑:

  • 노출 엔드포인트: SAP NetWeaver AS JAVA의 LM Configuration Wizard 관련 인터페이스 (추정: /sap/lmconfig 또는 유사 경로).
  • 취약 지점: 설정 작업을 처리하는 API 내부에서 사용자 권한을 검증하는 필터나 함수가 호출되지 않음.
  • CVSS 벡터 연결: AV:N/AC:L/PR:N/UI:N은 외부망에 노출된 경우, 공격자가 특별한 사전 조건 없이 단순 HTTP 요청만으로 트리거할 수 있는 최악의 시나리오를 의미한다.

• 공격 체인 (Attack Chain):

  1. 정찰: SAP NetWeaver AS JAVA 서비스 포트 스캔 및 LM Configuration Wizard 엔드포인트 활성화 여부 확인 $\rightarrow$ [지표: 특정 경로에 대한 200 OK 응답].
  2. 초기 접근: 인증 헤더/쿠키가 없는 상태에서 설정 변경 API에 직접 요청 전송 $\rightarrow$ [전제: 네트워크 접근 가능성].
  3. 실행 및 권한 획득: 인증 우회 상태에서 '관리자 사용자 생성' 태스크 실행 (예: createUser 파라미터 조작) $\rightarrow$ Administrative User 계정 생성 $\rightarrow$ 최고 권한 확보.
  4. 지속 및 영향: 생성된 관리자 계정을 통해 SAP Management Console 등에 로그인하여 시스템 전체 제어권 장악 및 지속성 유지.

• 트리거 원리:
  공격자가 특정 설정 파라미터를 포함한 HTTP POST 요청을 전송하면, 서버는 이를 적법한 관리자의 요청으로 오인하고 내부 구성 로직을 즉시 실행한다. (예: POST /sap/lmconfig/... $\rightarrow$ param=create_admin&user=attacker&pass=1234)

악용 가능성: 본 취약점은 인증 절차가 완전히 누락된 Missing Authentication Check 결함으로, 공격 난이도는 매우 낮으며 악용 가능성은 극도로 높습니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯 네트워크 상의 외부 공격자가 특별한 권한이나 사용자 상호작용 없이도 즉시 트리거할 수 있는 구조입니다. 특히 EPSS 점수가 0.94719로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 실제 야생(In-the-wild)에서 공격 도구가 보급되어 활발히 악용되고 있음을 증명합니다. 주요 공격 표면은 SAP NetWeaver AS JAVA의 LM Configuration Wizard 엔드포인트이며, 인증 없이 접근 가능한 설정 인터페이스와 관련 파라미터가 직접적인 진입점이 됩니다. 공격자는 정찰 단계에서 해당 포트의 개방 여부만 확인하면 즉시 초기 접근이 가능하며, 이후 구성 작업(Configuration tasks)을 통해 관리자 계정을 생성함으로써 시스템 전체 권한을 획득하는 단순하고 치명적인 공격 체인을 형성합니다.

• 시스템 완전 장악: 인증되지 않은 외부 공격자가 관리자 계정을 임의로 생성하여 정당한 권한자로 위장 가능.
• 비즈니스 중단: SAP Java 시스템 내 모든 데이터에 접근/수정/삭제가 가능하며, 이는 전사적 자원 관리 프로세스의 완전한 마비나 기밀 데이터 유출로 이어진다.

인증 우회는 진입점(Entry Point)이며, 공격자는 이를 발판 삼아 다음과 같은 고위험 체이닝을 시도할 가능성이 매우 높다.

• Java Deserialization $\rightarrow$ RCE (추정): LM Configuration Wizard가 내부적으로 Java 객체를 처리하는 과정에서 ObjectInputStream 등을 통한 역직렬화 지점이 존재한다면, 인증 우회 후 악성 가젯 체인을 주입하여 OS 레벨의 원격 코드 실행(RCE)으로 즉시 전환될 수 있다. 이는 단순 계정 생성을 넘어 서버 쉘을 획득하는 경로가 된다.
• 권한 상승 및 지속성 패턴: Missing Authentication $\rightarrow$ Administrative User Creation $\rightarrow$ System Configuration Manipulation $\rightarrow$ Full System Takeover.
• 방어 우회 원리: 일반적인 WAF의 단순 시그니처 매칭은 정상적인 설정 요청과 공격 요청을 구분하기 어렵다. 따라서 애플리케이션 내부 인증 필터가 작동하지 않는 상황에서는 네트워크 레벨의 접근 제어가 유일한 실효적 방책이다.

• 네트워크: 인증 토큰(Session ID 등)이 누락된 상태에서 LM Configuration Wizard 관련 경로로 유입되는 비정상적인 HTTP POST 요청 모니터링. (패턴 예시: HTTP POST /sap/lmconfig/* AND No Auth Header)
• 시스템: 예상치 못한 관리자 계정이 생성되었거나, 시스템 설정 파일(config)이 단시간에 변경된 이력 추적.
• 런타임: Java 프로세스에서 비정상적인 자식 프로세스(sh, cmd 등)가 생성되는지 EDR을 통해 감시.

• 즉시 조치 (Immediate): 네트워크 방화벽 또는 L7 스위치에서 LM Configuration Wizard 엔드포인트에 대한 외부 접근을 즉시 차단(Blocking).
• 근본 해결: SAP 제공 최신 보안 패치를 적용하여 누락된 인증 확인 로직 복구.
• 대응 우선순위 근거: 다중 소스 데이터 일관성이 확인되었으며, 특히 EPSS 0.94719(실측 악용 예측 최고 수준) 및 KEV 등재 사실에 근거하여 24시간 내 즉시 대응이 필수적이다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.94719 · exploit=easy · in_scope=None