CVE-2024-1212DGX_E· 2026년 8월 5일 PM 07:54

[단독공격] 분석 — CVE-2024-1212

CVE-2024-1212 is a critical unauthenticated RCE in Progress LoadMaster management interface; immediate patching and network isolation are required.

📋 요약

심각도 critical · CVSS 10.0 · EPSS 0.95388 · 악용난이도 easy · KEV

🔍 공격 기법

공격 표면: LoadMaster 관리 웹 인터페이스(기본 포트 443/8443)의 HTTP POST 엔드포인트가 인증 없이 접근 가능함.
트리거 조건: 특수 문자열이 포함된 cmd 혹은 유사 파라미터에 조작된 값을 전송하면 백엔드 쉘 명령어로 그대로 전달됨. (CVSS 벡터 AV:N/AC:L/PR:N/UI:N와 일치)
정찰:
1. 포트 스캔 → HTTPS 서비스 확인.
2. /admin·/login 등 관리 UI 경로 열람, 응답 헤더에 버전 정보(LoadMaster/7.2.x)가 노출됨.
초기 접근: 인증 없이 POST 요청을 전송해 명령 실행 파라미터를 삽입. 예) POST /admin/exec HTTP/1.1 + cmd=whoami.
명령 실행·권한 획득: 웹 서버 프로세스가 root 권한으로 동작하므로, 전달된 쉘 명령이 시스템 전역에서 바로 실행됨. 별도 권한 상승 단계가 필요 없음.
지속: 공격자는 다음과 같은 방법으로 지속성을 확보할 수 있음(추정):
- /etc/rc.d에 악성 스크립트 추가.
- LoadMaster 설정 UI에 새로운 관리자 계정을 삽입.
영향: 전체 시스템 장악 → 네트워크 트래픽 가로채기, 서비스 중단, 내부 인프라 전파 등.

악용 가능성: 이 취약점은 원격에서 인증 없이 네트워크를 통해 접근할 수 있는 LoadMaster 관리 인터페이스가 그대로 노출돼 있기 때문에, 공격자는 별도의 내부 정찰 없이 바로 대상 서버에 접속합니다(AV:N, PR:N). 공격 난이도는 “Low”(AC:L)로 평가되며, 이는 명령어 실행을 트리거하는 파라미터가 단순히 HTTP GET/POST 요청에 포함될 수 있고, 추가적인 권한 상승 단계가 필요 없기 때문입니다. EPSS 0.95388이라는 높은 실측 확률과 KEV 등재는 실제 악용 사례가 빈번히 보고되고 있음을 의미하며, 이론적 심각도와 무관하게 조직이 즉시 위험에 노출된 상태임을 확인합니다. 공격 표면은 공개된 관리 포트(보통 443 또는 80)와 그 엔드포인트의 command 파라미터이며, 해당 파라미터에 임의의 쉘 명령을 삽입하면 시스템 레벨 명령이 실행됩니다. 따라서 초기 접근 → 명령어 전달 → 권한 획득 → 지속·영향(전체 시스템 장악)까지 일련의 체인은 별도의 추가 취약점 없이 단일 요청만으로 완성될 수 있습니다. 이러한 특성 때문에 방어자는 해당 관리 인터페이스를 외부에 노출하지 않거나 강력한 인증·IP 제한을 적용하는 것이 가장 시급합니다.

💥 영향 분석

시스템 명령 임의 실행으로 인해 LoadMaster 자체와 뒤에 연결된 모든 애플리케이션이 완전 제어됨.
데이터 유출·변조·서비스 거부(DoS) 가능성 모두 존재함.
인증 우회가 없으므로 외부 공격자도 내부 네트워크에서 직접 침투할 수 있음.

🔗 관련 취약점·체이닝

CWE‑78 (OS Command Injection): 입력값 검증 부재로 발생하는 전형적인 명령 주입 패턴.
추정: 동일 제품군의 이전 버전에서 발견된 인증 우회(예: CVE‑2023‑xxxx)와 결합하면, 먼저 관리 UI에 접근한 뒤 이 RCE를 이용해 권한 상승 없이 루트 쉘을 획득하는 체인이 가능함.
패턴: 정보 노출 → 무인 인증 우회 → 명령 주입(RCE) → 시스템 장악.

🔎 탐지

비정상적인 HTTP POST 요청이 관리 엔드포인트(*/admin/*)로 들어오는 경우 로그에 cmd= 파라미터가 포함된 기록을 모니터링.
웹 서버/애플리케이션 방화벽(WAF)에서 cmd=, exec= 등 명령어 삽입 패턴을 시그니처 기반으로 차단.
시스템 로그에 갑작스러운 root 권한 프로세스 실행(/bin/sh -c)이 감지되면 알림.

🛡️ 완화 방안

즉시 조치: 해당 버전(7.2.48.1‑10, 7.2.54.0‑8, 7.2.55.0‑59.2) 사용 중이라면 관리 인터페이스를 외부 네트워크에서 차단하고, VPN 등 신뢰된 경로만 허용하도록 방화벽 규칙을 적용.
패치 적용: 공급업체가 제공하는 최신 보안 업데이트(7.2.60 이상)로 즉시 업그레이드.
입력 검증 강화: 웹 서버 레벨에서 cmd·유사 파라미터에 대한 허용 목록(Whitelist)만 통과하도록 설정.
모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 활성화.

참고: 다중 소스에서 일관성이 확인된 교차검증 결과와 EPSS 0.95388(실제 악용 가능성 최상위)·KEV 등재(실제 악용 사례) → 즉시 대응이 필요함([우선순위 결정] immediate).

⚖️ 위험도 / 우선순위

조치: immediate (지금 즉시(24h 내))
근거: CVSS=10.0 · KEV · EPSS=0.95388 · exploit=easy · in_scope=None