[공격] 분석 — CVE-2024-38094

• 심각도 high · CVSS 7.2 · EPSS 0.48735 · 악용난이도 easy · KEV

• 취약점 원리: Deserialization 결함. 신뢰할 수 없는 직렬화 데이터를 역직렬화하는 과정에서 임의의 객체를 생성하고 메서드를 실행하여 RCE로 이어짐. 특히 조작된 직렬화 객체를 통해 SharePoint 전역 설정 파일을 덮어쓰거나 관리자 권한으로 임의 플러그인을 로드하는 경로가 매우 치명적임.
• 공격 표면 매핑:
  • 엔드포인트: SharePoint Web Part, Workflow 서비스 또는 특정 .aspx 엔드포인트 중 직렬화된 데이터를 처리하는 HTTP POST 요청 파라미터.
  • 트리거: 공격자가 가젯(Gadget) 체인이 포함된 Serialized Object를 Request Body에 담아 전송하면, 서버 측 역직렬화 엔진이 이를 처리하며 임의 코드를 실행함.
• 공격 체인 및 단계:
  1. 정찰 및 초기 접근: 공개된 SharePoint 인스턴스를 식별하고, Phishing/Password Spraying 등으로 PR:H 조건(관리자 권한)을 충족하는 세션 쿠키나 Credential을 확보함.
  2. 실행 (RCE): 인증된 세션을 이용해 취약한 API 엔드포인트에 조작된 페이로드를 주입 $\rightarrow$ 서버 프로세스(w3wp.exe) 권한으로 임의 코드 실행.
  3. 권한 상승 및 지속: 설정 파일 조작을 통해 악성 플러그인을 로드하거나 웹쉘(WebShell)을 설치하여 영구적 거점을 확보함.
  4. 영향: OS 레벨 제어권을 획득하고 내부망 횡적 이동(Lateral Movement) 시도.
• 공격 조건 분석: AV:N/AC:L로 네트워크 접근이 쉽고 복잡도가 낮으나, CVSS 벡터의 PR:H에 따라 고권한 인증이 전제되어야 함. 다만, KEV 등재 및 EPSS 0.48735(실측 기반 높은 악용 예측치) 수치는 공격자들이 이미 인증 우회나 세션 탈취를 통해 이 제약을 극복하고 실전에서 악용 중임을 시사함.

악용 가능성: 본 취약점은 AV:N/AC:L 벡터가 보여주듯 네트워크를 통한 원격 접근이 가능하며, 공격 복잡도가 낮아 익스플로잇의 안정성이 매우 높습니다. 비록 PR:H 조건으로 인해 높은 권한의 계정이 필요하지만, 이는 내부망 침투 후 획득한 관리자 권한이나 SharePoint 사이트 소유자 계정을 통한 '권한 상승 및 실행' 단계에서 결정적인 무기가 됩니다. 특히 EPSS 점수가 0.48735로 매우 높고 KEV에 등재되었다는 점은, 이론적 제약을 넘어 실제 공격자들이 이미 유효한 공격 체인을 완성하여 실전에서 적극적으로 악용하고 있음을 증명합니다. 공격 표면은 SharePoint의 API 엔드포인트 및 특정 서버 사이드 함수(Server-side functions)로 매핑되며, 인증된 세션을 통해 조작된 파라미터를 전송함으로써 RCE를 트리거합니다. 결과적으로 이 취약점은 단순한 버그가 아니라, 초기 접근에 성공한 공격자가 시스템 전체 제어권을 획득하기 위해 사용하는 핵심 경로(Critical Path)로 기능하며 악용 가능성이 매우 극심합니다.

• 시스템 완전 장악: SharePoint 서버의 OS 레벨 권한 획득 및 C:H/I:H/A:H 수준의 데이터 유출·변조·파괴 가능.
• 인프라 침투 거점화: 내부망 접근 권한을 가진 서비스 계정 탈취를 통해 Active Directory 환경으로 공격 확장 가능.

• 인증 및 권한 획득 체이닝 (추정): PR:H 제약을 깨기 위해 다음과 같은 유형의 결함과 체이닝될 가능성이 매우 높음.
  • Broken Access Control 또는 Privilege Escalation: 일반 사용자 권한으로 관리자 권한을 획득하는 경로.
  • SSRF (Server-Side Request Forgery): 외부에서 접근 불가능한 내부 API 엔드포인트에 직접 페이로드를 주입하여 인증 절차를 우회하는 경로.
  • Session Hijacking: 세션 관리 결함을 통해 이미 인증된 관리자의 쿠키를 탈취하여 PR:H 조건을 즉시 충족시키는 패턴.
• 실행 단계 체이닝: [직렬화 객체 조작] $\rightarrow$ [전역 설정 파일 덮어쓰기/수정] $\rightarrow$ [악성 플러그인 로드] $\rightarrow$ [RCE]. 이 경로는 단순 기능 오용을 넘어 시스템 전체 장악으로 이어지는 매우 짧고 실현성 높은 체인임.

• 네트워크: HTTP POST 요청 본문 내 C# 직렬화 특유의 헤더나 알려진 가젯 클래스 이름이 포함된 패턴 탐지.
• 호스트: w3wp.exe 프로세스가 비정상적인 자식 프로세스(cmd.exe, powershell.exe)를 생성하거나, SharePoint 설정 파일 및 플러그인 디렉토리에 예기치 않은 쓰기 작업이 발생하는지 모니터링.

• 즉시 조치: 다중 소스 교차검증을 통해 일관성이 확인되었고, KEV 등재 및 EPSS 0.48735 수치에 근거해 24시간 내 즉시 패치 적용 (우선순위: immediate).
• 근본 해결: 영향받는 버전(SharePoint Server 2016, 2019, Subscription Edition)의 최신 보안 업데이트 설치.
• 임시 완화: 관리자 계정에 MFA 강제 적용 및 SharePoint API 엔드포인트에 대한 외부 노출 최소화/접근 제어.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.2 · KEV · EPSS=0.48735 · exploit=easy · in_scope=None