[방어] 분석 — CVE-2024-51567

• 심각도 critical · CVSS 10.0 · EPSS 0.86725 · 악용난이도 easy · KEV

• 경로: secMiddleware가 POST 요청에 대해서만 인증을 수행한다는 허점을 이용해, GET 또는 기타 메서드로 /dataBases/upgrademysqlstatus 엔드포인트에 직접 접근하여 인증을 우회함.
• 메커니즘: 해당 엔드포인트의 statusfile 프로퍼티 값에 Shell Metacharacters(예: ;, |, `)를 주입하여 OS 커맨드를 실행하는 Command Injection 취약점임.
• 단계: 인증 우회 $\rightarrow$ 특수문자가 포함된 파라미터 전송 $\rightarrow$ 서버 측 쉘 명령 실행 $\rightarrow$ RCE 달성 및 권한 상승 시도.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 악용 가능성은 극히 높습니다. AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯 인증되지 않은 외부 공격자가 네트워크를 통해 특별한 전제 조건 없이 즉시 트리거할 수 있는 구조입니다. 특히 secMiddleware가 POST 요청에만 적용되는 설계 결함으로 인해, GET 방식의 /dataBases/upgrademysqlstatus 엔드포인트가 그대로 노출되어 인증 우회가 가능합니다. 공격 표면은 해당 HTTP 엔드포인트의 statusfile 파라미터이며, 여기에 쉘 메타문자를 삽입함으로써 원격 코드 실행(RCE)으로 이어집니다. EPSS 수치가 0.86725로 매우 높고 이미 KEV에 등재되어 실제 공격 사례가 확인된 만큼, 이론적 위험을 넘어 현재 실전에서 활발히 악용되고 있는 위협입니다. 따라서 방어자는 패치 전까지 해당 경로로 유입되는 모든 비정상 요청을 즉시 차단해야 하는 긴급한 상황입니다.

• RCE (Remote Code Execution): 공격자가 웹 서버 권한으로 임의 명령을 실행하여 시스템 제어권을 획득함.
• 데이터 유출 및 변조: OS 권한을 통해 MySQL 설정 파일, 데이터베이스 파일에 접근하거나 mysql.user 테이블을 조작해 관리자 계정을 생성할 수 있음.
• 시스템 완전 장악: CVSS 10.0 및 벡터(AV:N/AC:L/PR:N/UI:N/S:C)가 보여주듯, 외부에서 아무런 권한 없이 시스템 전체의 기밀성, 무결성, 가용성을 완전히 파괴할 수 있음.

• Auth Bypass $\rightarrow$ RCE: 인증 메커니즘의 불완전한 적용(특정 메서드 누락)과 입력값 검증 부재가 체이닝되어 치명적인 결과로 이어짐.
• Privilege Escalation: 획득한 웹 서버 권한을 이용해 DB 관리자 권한으로 상승하거나, OS Root 권한 획득 시도로 이어질 가능성이 높음.

다중 소스 데이터 일관성이 확인되었으며, 특히 EPSS 0.86725는 이론적 심각도를 넘어 실제 야생에서 악용될 확률이 극도로 높음을 의미함. KEV 등재 사실을 근거로 즉시 탐지를 적용해야 함.

• 로그 지표:

  • 웹 서버 Access Log: /dataBases/upgrademysqlstatus 경로 호출 기록 및 쿼리 스트링 확인.
  • MySQL Audit Log / mysql.user 테이블: 비정상적인 신규 관리자 계정 생성 또는 권한 변경 이벤트.
  • OS Process Log: 웹 서버 프로세스(httpd, nginx 등)의 자식 프로세스로 sh, bash, curl, wget, nc 등이 실행되는 패턴.

• 탐지 규칙 예시:

  1. WAF/IDS (엔드포인트 및 특수문자 탐지):
     SELECT * FROM access_logs WHERE request_uri LIKE '/dataBases/upgrademysqlstatus%' AND (request_params REGEXP '[;\|$()]')`
  2. SIEM (인증 우회 시도 탐지 - POST가 아닌 요청):
     index=web_logs method != "POST" uri="/dataBases/upgrademysqlstatus" | stats count by src_ip, user_agent
  3. Post-Compromise (DB 권한 변동 탐지):
     SELECT * FROM mysql.user WHERE create_time > [패치 전 시점] AND account_locked = 'N' (추정: 신규 생성된 관리자 계정 식별 목적)

• 오탐 튜닝 및 주의사항:

  • CyberPanel의 정상적인 업데이트 프로세스가 해당 엔드포인트를 사용하는지 확인 필요. 단, 일반적인 운영 상황에서 statusfile 파라미터에 쉘 메타문자가 들어가는 것은 명백한 공격임.
  • 단순 호출 로그만으로는 실제 침투 여부를 확신할 수 없으므로, 반드시 DB 권한 변동 및 OS 프로세스 실행 로그와 연계 분석(Correlation)해야 함.

우선순위는 immediate이며, KEV 등재 및 EPSS 수치를 고려할 때 24시간 내 조치가 필요함.

• 즉시 (긴급 차단):

  • 조치: WAF 또는 웹 서버 설정(Nginx/Apache)에서 /dataBases/upgrademysqlstatus 경로로의 모든 외부 접근을 DENY 처리.
  • 난이도/영향: 매우 낮음 / 특정 기능 사용 불가하나 서비스 전체 가용성에는 영향 없음.
  • 검증: 외부에서 해당 URL 호출 시 403 Forbidden 응답 확인.

• 단기 (완화 및 사후 점검):

  • 조치: mysql.user 테이블의 권한 변동 내역 전수 조사 및 불필요한 관리자 계정 삭제. OS 상의 웹쉘(Webshell) 존재 여부 스캔.
  • 난이도/영향: 보통 / 운영 데이터 무결성 검증을 위한 리소스 소모 발생.
  • 검증: DB 사용자 목록 및 권한 덤프 파일 비교 분석.

• 근본 (해결):

  • 조치: CyberPanel 버전을 2.3.8 이상으로 업데이트하여 secMiddleware 적용 범위 확대 및 입력값 검증 로직 반영.
  • 난이도/영향: 보통 / 업데이트 중 일시적 서비스 중단 가능성 있음.
  • 검증: 버전 확인 후 /dataBases/upgrademysqlstatus에 GET 요청 시 인증 요구(401/302) 확인 및 특수문자 주입 시 차단 확인.

• 잔여 리스크: 패치 적용 전 이미 침투가 이루어진 경우, 공격자가 생성한 백도어 계정이나 Persistence 메커니즘(Cronjob 등)은 패치만으로 제거되지 않음. 따라서 반드시 '사후 점검' 단계의 무결성 검증이 병행되어야 함.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.86725 · exploit=easy · in_scope=None