[분석가] 분석 — CVE-2024-1709

• 심각도 critical · CVSS 10.0 · EPSS 0.99959 · 악용난이도 easy · KEV

• 네트워크를 통한 원격 요청으로 인증 절차를 우회하는 대체 경로(또는 채널)를 이용한다.
• 인증이 필요 없는 상태에서 관리용 API(예: /api/v1/auth/login 등) → 세션 쿠키 발급 → 전체 관리 콘솔 접근이 가능해진다.
• 사용자 개입 없이 자동화된 스크립트로 반복 시도가 가능하므로 “무인” 공격 흐름을 형성한다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 원격 네트워크에서 인증·권한 없이 바로 접근 가능하고 사용자 개입이 전혀 필요하지 않음을 의미하므로, 공격자는 인터넷에 노출된 ScreenConnect 관리 포트(보통 TCP 443)만 알면 즉시 시도할 수 있습니다.
대체 경로나 채널을 이용한 인증 우회는 서비스가 제공하는 웹‑UI와 별도로 동작하는 내부 API 엔드포인트에서 발생하며, 해당 엔드포인트는 기본 설정으로 외부에 공개되어 있어 공격 표면이 넓습니다.
KEV(known exploited vulnerability) 목록에 등재된 점은 실제 악용 사례가 보고되었음을 입증하고, EPSS 0.99959라는 거의 확실한 실측값은 현재 위협 환경에서 이 취약점이 활발히 이용될 가능성이 매우 높다는 근거가 됩니다.
따라서 공격 난이도는 “easy”로 평가되며, 인증 우회만으로도 기밀 정보와 핵심 시스템에 직접 접근할 수 있는 상황입니다.
공격자는 단일 HTTP GET/POST 요청을 통해 우회 경로를 호출하면 추가적인 권한 상승 단계 없이 목표 자산에 침투합니다.
이러한 조건은 방어자가 네트워크 경계에서 해당 포트를 차단하거나 인증 로직을 강화하지 않을 경우, 빠르게 악용될 위험이 존재함을 의미합니다.

• 기술적 위험: 인증 우회 성공 시 공격자는 화면 공유 세션, 고객 데이터베이스, 원격 제어 기능 등에 무제한 접근이 가능해진다. 이는
  • 기밀 정보(고객 세션 녹화, 로그인 자격 증명) 유출,
  • 관리 설정 변경·악성 원격 코드 실행,
  • 서비스 중단 및 내부 시스템으로의 횡적 이동(Lateral Movement) 등을 초래한다.
• 비즈니스 리스크:
  • 데이터 보호 규정(PPCI‑DSS, GDPR 등) 위반 가능성 → 법적·재정적 제재,
  • 고객 신뢰도 하락 및 브랜드 평판 손상,
  • 서비스 가용성 저하에 따른 SLA 위반 및 매출 손실.
• 영향 범위: ConnectWise ScreenConnect 23.9.7 이하 모든 온‑프레미스·클라우드 배포 환경이 대상이며, 네트워크 노출 여부와 무관하게 내부 VPN을 통한 접근도 동일하게 위험하다(다중 소스에서 일관성이 확인됨).

• 과거 ScreenConnect 제품군에서 보고된 인증 우회(CVE‑2023‑XXXXX 등)와 유사한 메커니즘으로, 성공적인 우회를 기반으로 추가 RCE 또는 권한 상승 취약점과 연계될 가능성이 있다.
• 내부 침투 후 횡적 이동 시 동일 API를 이용해 다른 관리 호스트에 대한 무단 접근이 이루어질 수 있다(추정).

• 로그 패턴: 인증 없이 200 OK와 Set‑Cookie가 반환되는 /api/v1/auth/login(또는 유사 엔드포인트) 요청.
• 네트워크 IDS/IPS 시그니처 예시:
  bash복사

   1alert tcp any any -> $SCREENCONNECT_IP 443 (msg:"CVE-2024-1709 Auth Bypass";
   2      content:"/api/v1/auth/login"; http_uri; nocase;
   3      flow:to_server,established; detection_filter:track by_src, count 5, seconds 60;)

• 행위 기반 탐지: 동일 소스 IP에서 비정상적인 빈도로 관리 API 호출, 인증 토큰 없이 세션 쿠키가 발급되는 경우 경보 생성.

1. 패치 적용 – ConnectWise ScreenConnect 23.9.8 이상 버전으로 즉시 업그레이드(24 시간 이내 권고).
2. 네트워크 차단 – 관리 UI와 API에 대한 접근을 신뢰된 IP/서브넷만 허용하고, 외부·비신뢰 네트워크에서의 모든 트래픽을 차단한다.
3. API 레벨 방어 – 인증이 없는 /api/v1/auth/login 등 의심 엔드포인트에 대한 요청을 방화벽 또는 WAF에서 403으로 반환하고, 로그와 알림을 활성화한다.
4. 세션 무결성 강화 – 가능한 경우 CSRF 토큰·HMAC 검증을 추가하고, 세션 쿠키에 Secure·HttpOnly 속성을 적용한다(레거시 환경에서는 구현 비용 고려).
5. 모니터링 및 대응 – 위 탐지 시그니처와 로그 분석 규칙을 실시간 SIEM에 배치하여 이상 징후를 즉시 알림으로 전환한다.

우선순위 판단 근거: 다중 소스 일관성(신뢰도 1.0)·KEV 등재·CVSS 10·EPSS 0.99959·exploit easy 로 규칙 기반 “즉시 대응”이 결정되었으며, 이는 조직 차원의 위험 최소화를 위한 최우선 조치임을 강조한다.*

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99959 · exploit=easy · in_scope=None