[공격] 분석 — CVE-2021-20038

• 심각도 critical · CVSS 9.8 · EPSS 0.99899 · 악용난이도 easy · KEV

• 공격 표면 및 진입점: SMA 100 시리즈의 Apache httpd 서버 내 mod_cgi 모듈이 처리하는 환경 변수(Environment Variables) 영역이다. 외부에서 전송되는 HTTP 요청 헤더나 특정 파라미터가 CGI 환경 변수로 매핑되어 스택에 복사되는 과정에서 길이 검증 부재로 인한 Buffer Overflow가 발생한다.
• 트리거 조건: 특수하게 조작된 매우 긴 문자열을 포함한 HTTP 요청을 전송하여 고정 크기의 스택 버퍼를 초과시키고, Return Address를 덮어써 실행 흐름을 가로챈다.
• 공격 체인 (Attack Chain):
  1. 정찰: 대상 장비의 버전 확인 및 mod_cgi 활성화 여부 판단.
  2. 초기 접근: 인증되지 않은 상태(Unauthenticated)에서 조작된 HTTP 헤더/파라미터 주입. (전제: 외부망에서 CGI 엔드포인트에 접근 가능해야 함)
  3. 실행 (Exploitation): Stack Overflow를 통해 제어권 획득. 추정: DEP/ASLR 우회를 위해 메모리 레이아웃을 제어하는 ROP(Return-Oriented Programming) 체인을 구성하여 system() 등의 함수 호출.
  4. 권한 획득: 초기 실행 권한은 nobody 사용자로 제한됨. (관측 지표: nobody 권한의 비정상 프로세스 생성)
  5. 영향/지속: RCE를 통해 장비 제어권을 확보하고 내부망 침투를 위한 거점으로 활용.
• 실현성 분석: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 공격자가 네트워크상에서 아무런 권한 없이 매우 낮은 난이도로 접근 가능함을 의미한다. 특히 다중 소스에서 일관되게 확인된 KEV(Known Exploited Vulnerabilities) 등재 사실과 EPSS 0.99899라는 실측 수치는 이론적 위험을 넘어 이미 야생에서 무기화된 페이로드가 활발히 사용되고 있음을 입증한다.

악용 가능성: 본 취약점은 네트워크를 통해 인증 없이 접근 가능한 mod_cgi 모듈의 환경 변수 처리 과정에서 발생하는 Stack-based Buffer Overflow로, 공격 난이도가 매우 낮습니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)가 보여주듯 특별한 전제 조건이나 사용자 상호작용 없이 외부에서 직접 트리거할 수 있으며, 이는 곧바로 원격 코드 실행(RCE)으로 이어질 수 있는 치명적인 경로를 제공합니다. 특히 EPSS 점수가 0.99899에 달하고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은 이론적 가능성을 넘어 이미 야생에서 공격 도구가 보급되어 실전 악용이 빈번하게 일어나고 있음을 증명합니다. 공격 표면은 SMA 어플라이언스의 HTTP/HTTPS 서비스 엔드포인트이며, 구체적으로는 mod_cgi가 처리하는 CGI 요청의 환경 변수(Environment Variables) 파라미터가 주요 타겟입니다. 공격자는 정교하게 조작된 긴 문자열을 포함한 HTTP 요청을 전송하여 스택 메모리를 덮어쓰고 실행 흐름을 제어함으로써 'nobody' 권한으로 임의 코드를 실행할 수 있습니다. 결과적으로 이 취약점은 낮은 진입 장벽과 높은 가용성으로 인해 공격자에게 매우 매력적인 초기 침투 경로(Initial Access)로 활용됩니다.

• 원격 코드 실행 (RCE): 인증 없이 nobody 권한으로 임의 명령어를 실행하여 장비 제어 가능.
• 서비스 거부 (DoS): 페이로드 구성 실패나 메모리 오염 시 프로세스 크래시로 인한 서비스 중단 즉각 발생.
• 내부망 침투: VPN 게이트웨이라는 위치 특성상, 내부 네트워크 횡적 이동(Lateral Movement)을 위한 최적의 교두보가 됨.

• 권한 상승 체이닝 (Privilege Escalation): 현재 권한은 nobody에 불과하므로, 장비 완전 제어를 위해 로컬 권한 상승(LPE) 결함과의 체이닝이 필수적이다. 추정: 커널 취약점이나 SUID 설정 오류 등을 이용해 root 권한을 획득하는 경로를 탐색할 것이다.
• ASLR 우회 체이닝: ROP 체인 구성을 위해 메모리 주소 값이 필요하다. 추정: 정보 유출(Information Disclosure) 유형의 결함을 통해 메모리 릭(Memory Leak)을 먼저 수행함으로써 ASLR을 무력화하고 공격 성공률을 높이는 패턴을 사용할 수 있다.
• 공격 흐름: Unauthenticated RCE (mod_cgi) $\rightarrow$ Memory Leak/LPE $\rightarrow$ Full System Compromise.

• HTTP 요청 분석: HTTP 헤더나 CGI 파라미터에 비정상적으로 긴 문자열(Long String)이나 반복 패턴(\x90 NOP sled, ROP 가젯 주소 등)이 포함된 요청 모니터링.
• 프로세스 감시: nobody 사용자로 실행되는 비정상적인 셸(sh, bash) 또는 네트워크 연결 프로세스 생성 여부 확인.

• 즉시 조치: 외부에서 SMA 장비의 CGI 엔드포인트 접근을 ACL로 차단하거나, 가능할 경우 mod_cgi 모듈을 비활성화하여 공격 표면 자체를 제거한다.
• 근본 해결: 영향받는 펌웨어 버전(10.2.0.8-37sv, 10.2.1.1-19sv, 10.2.1.2-24sv 및 이전 버전)을 최신 보안 패치 버전으로 즉시 업데이트한다. (우선순위: KEV 및 EPSS 기반 Immediate 조치 필요)

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99899 · exploit=easy · in_scope=None