[방어] 분석 — CVE-2024-54085

• 심각도 critical · CVSS 10.0 · EPSS 0.61063 · 악용난이도 easy · KEV

• 경로: 원격 네트워크 $\rightarrow$ BMC(Baseboard Management Controller) $\rightarrow$ Redfish Host Interface (추정: TCP 443).
• 원리: Redfish API의 인증 메커니즘 결함을 이용하여 적절한 자격 증명 없이 관리자 권한을 획득하는 Authentication Bypass가 발생합니다.
• 단계:
  1. 대상 서버의 BMC IP 및 Redfish 엔드포인트 식별.
  2. 인증 우회 페이로드를 포함한 HTTP 요청 전송 $\rightarrow$ 인증 절차 무력화.
  3. 관리자 API 권한 획득 후 시스템 설정 변경, 하드웨어 제어 및 호스트 OS 영향력 행사.
• 특이사항: 단순 자격 증명 탈취가 아닌 메커니즘 우회이므로 기본 비밀번호 변경만으로는 방어가 불가능합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 환경에서의 악용 가능성은 극히 높습니다. CVSS 벡터상 Network(AV:N) 및 Low Complexity(AC:L) 조건과 더불어 별도의 권한(PR:N)이나 사용자 상호작용(UI:N) 없이도 공격이 가능하므로, 외부로 노출된 BMC 인터페이스가 있다면 즉각적인 타겟이 됩니다. 특히 EPSS 수치가 0.61063으로 매우 높고 KEV에 등재되었다는 점은 이론적 위험을 넘어 이미 실전에서 공격 도구가 유포되고 실제 침해 사고가 발생하고 있음을 입증합니다. 공격 표면은 Redfish Host Interface의 인증 메커니즘이 구현된 엔드포인트이며, HTTP/HTTPS 프로토콜을 통해 특정 파라미터를 조작함으로써 인증 과정을 우회(Authentication Bypass)하는 방식으로 트리거됩니다. 결과적으로 공격자는 특수하게 제작된 요청만으로 관리자 권한을 획득하여 BMC의 기밀성, 무결성, 가용성을 완전히 장악할 수 있는 치명적인 상태입니다.

• 인프라 물리적 제어권 상실: BMC는 Out-of-Band(OOB) 영역으로 OS와 독립적으로 동작합니다. 공격자는 서버 전원 강제 종료/재부팅, BIOS 설정 변경 등 하드웨어 수준의 완전한 통제권을 갖게 됩니다.
• 호스트 OS 장악: 원격 콘솔(KVM) 접근을 통한 로그인 캡처나 가상 미디어를 이용한 악성 이미지 주입으로 호스트 OS를 완전히 침해할 수 있습니다.
• 비즈니스 리스크: OOB 영역의 특권 권한을 이용해 관리망 내 다른 BMC로 횡적 이동(Lateral Movement)하는 거점으로 활용될 위험이 매우 높습니다.

• 인증 우회 $\rightarrow$ RCE/Privilege Escalation: 인증 우회 후 Redfish API의 다른 취약점을 체이닝하여 BMC 펌웨어 수준에서 원격 코드 실행(RCE)을 시도하거나, 호스트 OS 커널 메모리에 접근하는 권한 상승으로 이어질 수 있습니다.
• 공격 표면 확장: Redfish 외에도 IPMI 및 OEM CLI 인터페이스가 동일한 인증 결함을 공유하거나 연계될 가능성이 존재합니다.

BMC 로그는 저장 공간이 제한적이므로 네트워크 레벨(IDS/IPS)과 SIEM 기반의 트래픽 분석이 필수적입니다.

• 로그 지표:

  • BMC HTTP Access Log: Authorization 헤더가 없거나 비정상적인 토큰임에도 응답 코드가 HTTP 200 OK인 경우.
  • Redfish API Endpoint: /redfish/v1/ 하위 경로로의 급격한 요청 증가.

• 탐지 규칙 예시:

  1. 비인가 관리자 API 호출 탐지 (SIEM 의사코드):
     SELECT source_ip, request_uri FROM bmc_http_logs WHERE (request_uri LIKE '/redfish/v1/%' AND auth_header IS NULL) AND response_code = 200
  2. 고위험 시스템 제어 액션 탐지 (정규식):
     • 패턴: .*\/redfish\/v1\/Systems\/.*\/Actions\/ComputerSystem\.Reset.*
     • 조건: 위 경로로의 POST 요청이 화이트리스트 IP가 아닌 곳에서 발생할 때.
  3. BMC 외부 노출 스캔 탐지:
     • 조건: External_Net $\rightarrow$ Internal_BMC_IP (TCP 443, 623 등) 방향으로 짧은 시간 내 다수 연결 시도 발생 시.

• 오탐 튜닝 및 주의사항:

  • 시나리오: Zabbix, Prometheus 등 정당한 모니터링 솔루션이 Redfish API를 통해 상태 정보를 수집하는 경우 오탐이 발생합니다.
  • 튜닝: 인가된 관리 서버(Management Server) IP 리스트를 화이트리스트로 등록하고, 그 외의 모든 200 OK 응답을 집중 모니터링 대상으로 설정합니다.

본 건은 CVSS 10.0 및 EPSS 0.61063(실제 악용 예측 매우 높음) 수치와 KEV 등재 사실에 근거하여 Immediate(즉시) 대응이 필요합니다. 다중 소스 간 벡터 형식 불일치가 있었으나 보수적으로 가장 높은 위험도를 채택했습니다.

• 즉시 (긴급 차단):

  • 조치: BMC 관리 네트워크의 외부망 노출을 즉시 차단하고, ACL(Access Control List)을 적용하여 인가된 관리자 단말 IP만 접근 가능하도록 제한합니다. (VLAN 격리 확인 포함)
  • 난이도/영향: 낮음 / 매우 낮음 (관리 효율성 소폭 저하).
  • 검증: 외부망에서 BMC IP로 curl 또는 포트 스캔 시 접속 불가(Timeout/Reject) 확인.

• 단기 (완화):

  • 조치: Redfish 외 불필요한 관리 서비스(IPMI, OEM CLI 등) 비활성화 및 강제 TLS 적용. 기본 자격 증명 전수 교체.
  • 난이도/영향: 보통 / 낮음 (일부 레거시 관리 툴 작동 불가 가능성).
  • 검증: BMC 설정 메뉴에서 사용하지 않는 서비스의 Disabled 상태 확인 및 HTTPS 강제 적용 여부 검토.

• 근본 (해결):

  • 조치: AMI MegaRAC-SPx 버전을 영향받지 않는 버전(12.7 이상 또는 13.5 이상)으로 업데이트.
  • 난이도/영향: 높음 / 보통 (펌웨어 업데이트 중 BMC 재부팅 필요, 실패 시 하드웨어 장애 리스크).
  • 검증: 업데이트 후 fw_version을 확인하여 취약 버전 범위(12.0 $\le$ x $<$ 12.7, 13.0 $\le$ x $<$ 13.5) 제외 여부 검토.

패치 후 잔여 리스크: 패치 이후에도 OOB 네트워크가 물리적/논리적으로 격리되지 않았다면 다른 BMC 취약점을 통한 내부 전파 리스크가 남습니다. 따라서 반드시 VLAN 기반의 관리망 분리가 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.61063 · exploit=easy · in_scope=None