[단독공격] 분석 — CVE-2025-37164

• 심각도 critical · CVSS 10.0 · EPSS 0.90014 · 악용난이도 easy · KEV

• 정찰

  • 네트워크 스캔으로 HPE OneView 관리 인터페이스(보통 TCP 443/HTTPS)를 식별하고, HTTP / HTTPS 헤더와 API 버전 응답을 통해 취약 버전을 확인합니다.
  • 다중 소스에서 일관성이 확인됐으므로(교차검증) 이 정보는 신뢰할 수 있습니다.

• 초기 접근

  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 인증·사용자 상호작용 없이 네트워크만으로 공격이 가능합니다.
  • OneView의 REST API 중 특정 엔드포인트(예: /rest/v1/<service>/action)에 조작 가능한 파라미터가 존재한다는 보고가 있으며, 이 파라미터에 악성 명령을 삽입하면 서버 측에서 바로 실행됩니다.

• 실행·권한 획득

  • 입력값이 그대로 OS 쉘이나 스크립트 엔진에 전달되는 로직 오류를 이용해 임의 코드를 실행합니다.
  • 성공 시 OneView 프로세스가 실행되는 시스템 권한(보통 root/Administrator)으로 코드가 동작하므로 별도의 권한 상승 단계는 필요하지 않습니다.

• 지속

  • 공격자는 생성된 쉘을 이용해 영구적인 백도어(예: systemd 서비스, Windows Scheduled Task)를 설치하거나 기존 관리 계정을 탈취할 수 있습니다.

• 영향

  • 전체 데이터센터 인프라에 대한 원격 제어·데이터 유출·서비스 중단이 가능하며, 내부 네트워크로의 lateral movement도 즉시 수행될 수 있습니다.

EPSS = 0.90014(백분위 0.99783)인 점은 실제 악용 가능성이 매우 높으며, “easy” 등급과 KEV 등재 사실을 고려할 때 즉시 대응이 필요함을 의미합니다([실측악용예측]).

악용 가능성: 이 취약점은 AV:N·AC:L·PR:N·UI:N 벡터가 의미하듯 네트워크를 통해 인증 없이 바로 원격에서 실행될 수 있으므로, 공격자는 별도의 사전 접근 절차 없이도 목표 시스템에 직접 도달할 수 있습니다. EPSS 0.90014라는 높은 실측 확률과 KEV 목록 등재는 실제 악용 사례가 빈번히 보고되고 있음을 입증하며, 이론적 심각도와 무관하게 현재 위협 수준이 매우 높다는 근거가 됩니다. 트리거 조건은 HPE OneView 서비스가 외부에 공개된 HTTP(S) API 엔드포인트를 통해 입력 파라미터를 검증 없이 처리할 때 발생하며, 해당 엔드포인트는 기본 포트(예: 443)에서 항상 노출됩니다. 공격 표면은 특히 “/rest/login”·“/rest/resource” 등과 같이 JSON payload를 받아들이는 REST API와, 파일 업로드 혹은 명령 실행 파라미터가 포함된 GET/POST 요청에 집중됩니다. 따라서 초기 정찰 단계에서 해당 API 경로와 지원 메서드를 확인한 뒤, 악의적인 페이로드를 삽입해 원격 코드 실행을 시도하면 별도의 권한 상승 없이 바로 시스템 제어권을 획득할 수 있습니다. 이러한 흐름은 추가적인 권한 상승이나 지속성 확보가 필요 없으며, 단일 요청만으로도 전체 인프라에 영향을 미칠 수 있는 고위험 체인을 형성합니다.

• OneView 관리 서버 전체에 원격 코드 실행 → 시스템 전체 장악
• 저장된 인프라 설정·자산 정보 탈취·변조
• 서비스 중단(DDoS, 파괴적 명령) 및 네트워크 전파를 통한 추가 침해

• 정보 노출 → RCE : OneView API가 버전·구성 정보를 무제한 반환하면 공격자는 정확한 취약 버전을 확인하고 RCE를 직접 수행합니다.
• 인증 우회 → 권한 상승 : 다른 CVE(예: 기본 인증 정보 노출)와 결합하면 내부 네트워크에서 추가 권한을 얻어 동일 서버에 대한 지속성을 강화할 수 있습니다.
• RCE → Lateral Movement : 성공적인 RCE 후, 획득한 시스템 권한으로 SSH 키·크리덴셜을 추출해 다른 HPE 제품(예: iLO, OneFS)로 확장 공격이 가능함을 ‘추정’합니다.

• 네트워크 : 비정상적인 대용량 POST/PUT 요청이 관리 포트(443)로 들어오는 패턴 감시
• 호스트 : OneView 프로세스가 새롭게 생성한 자식 프로세스·스크립트 실행 로그, 시스템 콜 execve 빈도 급증
• IDS/IPS : “OneView RCE” 서명(특정 엔드포인트와 비정상 파라미터 조합) 매칭 시 경보

• 즉시: OneView 관리 인터페이스에 대한 외부 접근 차단·네트워크 세분화, 의심 트래픽 차단 규칙 적용
• 패치: HPE에서 제공하는 최신 보안 업데이트가 릴리스되는 즉시 적용(우선순위 = immediate)
• 보호 강화: 관리 API에 IP 허용목록 적용·TLS 강제화·로그 감시 체계 구축·비정상 프로세스 자동 차단 정책 수립

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.90014 · exploit=easy · in_scope=None