[방어] 분석 — CVE-2024-38094

• 심각도 high · CVSS 7.2 · EPSS 0.48735 · 악용난이도 easy · KEV

본 취약점은 Deserialization 결함으로, 인증된 권한을 가진 사용자가 조작된 직렬화 객체를 SharePoint 웹 서비스 API 엔드포인트로 전송하여 트리거됩니다.

• 경로: 네트워크 $\rightarrow$ SharePoint API $\rightarrow$ 취약한 역직렬화 함수 실행.
• 단계: 악성 페이로드 전송 $\rightarrow$ 서버 측 객체 역직렬화 중 임의 코드 실행 $\rightarrow$ 추정: 전역 설정 파일 덮어쓰기 및 악성 플러그인 로드 $\rightarrow$ 시스템 권한 탈취(RCE).
• 특이사항: CVSS 벡터상 PR:H가 요구되나, 동료 분석 결과 인증 우회 경로의 가능성이 제기되었습니다. 일단 진입 시 설정 파일 조작을 통해 RCE로 이어지는 체인이 매우 짧고 치명적입니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 환경에서의 악용 가능성은 극도로 높습니다. CVSS 벡터상 AV:N/AC:L은 네트워크를 통해 특별한 조건 없이 즉시 접근 가능하다는 것을 의미하며, 특히 PR:H 조건이 필요함에도 불구하고 KEV 등재와 EPSS 0.48735라는 높은 실측값은 공격자가 이미 유효한 관리자 권한을 탈취했거나 내부망 침투 후 권한 상승 단계에서 이 취약점을 적극적으로 활용하고 있음을 시사합니다. 공격 표면은 Microsoft SharePoint의 외부 노출 엔드포인트 및 특정 API 파라미터가 되며, HTTP/HTTPS 프로토콜을 통해 조작된 요청을 전송함으로써 트리거됩니다. 이론적인 권한 요구사항보다 실제 공격자의 익스플로잇 성공률이 높은 상황이므로, 단순한 권한 제어만으로는 방어가 불가능합니다. 결과적으로 인증된 세션을 확보한 공격자가 RCE를 통해 서버 전체의 제어권을 획득하는 시나리오가 매우 현실적인 위협으로 작용하고 있습니다.

• 시스템 완전 장악: OS 수준 권한 획득을 통한 서버 제어권 탈취.
• 데이터 유출 및 파괴: SharePoint 내 모든 기업 문서 및 사용자 데이터 접근, 랜섬웨어 전파의 진입점으로 활용 가능.
• 지속성 확보: 설정 파일 조작을 통해 백도어 플러그인을 설치할 경우, 패치 이후에도 공격자가 권한을 유지할 위험이 큼.

• 패턴: Deserialization $\rightarrow$ Arbitrary File Write(설정 파일) $\rightarrow$ RCE(플러그인 로드)로 이어지는 체이닝 구조를 가집니다.

다중 소스 데이터 일관성이 확인된 고신뢰도 취약점이며, 실측 EPSS 0.48735(상위 0.98758%) 및 KEV 등재 사실은 실제 악용 사례가 빈번함을 입증합니다.

1. 로그 지표 및 모니터링 대상

• 로그 위치: IIS W3C 로그, SharePoint ULS 로그, Windows Event Log (Security/System).
• 핵심 필드: cs-method (POST), cs-uri-stem (/_api/ 포함 경로), cs-username, cs-bytes (비정상적으로 큰 페이로드 크기).

2. 탐지 규칙 예시

• Rule 1 (WAF - 입력 값 검증): API 요청 중 .NET BinaryFormatter 등 직렬화 매직 바이트 패턴 탐지.
  • Condition: HTTP_Method == "POST" AND URI contains "/_api/" AND Payload matches /([특정 직렬화 시그니처 정규식])/
• Rule 2 (EDR - 행위 기반): SharePoint 프로세스(w3wp.exe)가 비정상적인 자식 프로세스를 생성하거나 설정 파일을 수정하는 행위 탐지.
  • Query: process_name == "w3wp.exe" AND (child_process IN ("cmd.exe", "powershell.exe") OR target_file_extension == ".config")
• Rule 3 (SIEM - 이상 징후): 단일 IP에서 API 엔드포인트로의 비정상적인 POST 요청 급증 탐지.
  • Threshold: Count(POST requests to /_api/*) > 100 per minute from single Source_IP

3. 오탐 튜닝 및 검증

• 오탐 시나리오: 정상 관리 도구의 설정 업데이트나 대용량 파일 업로드 API 호출 시 발생 가능.
• 튜닝 방법: 신뢰할 수 있는 관리자 IP 화이트리스트 적용, 정상 요청의 페이로드 크기/구조 Baseline 정의 후 편차 분석 기반 임계값 조정.

KEV 등재 및 높은 EPSS 수치(실제 악용 예측치)에 근거하여 가용성 평가보다 침투 경로 차단이 선행되어야 하는 Immediate(24시간 내) 대응 건입니다.

1. 즉시 (긴급 차단 - Today's Action)

• 조치: 네트워크 ACL 또는 WAF를 통해 외부에서 SharePoint API 엔드포인트(/_api/ 등)로의 직접 접근을 전면 차단하거나 신뢰 IP로 제한.
• 난이도: 낮음 / 운영 영향: 일부 API 연동 서비스 중단 가능성 / 검증: 외부망 $\rightarrow$ API 엔드포인트 접속 시 403 Forbidden 확인.

2. 단기 (위험 완화)

• 조치: WAF에 Deserialization 패턴 차단 룰 적용 및 EDR의 행위 기반 탐지(w3wp.exe $\rightarrow$ cmd.exe)를 '차단' 모드로 전환.
• 난이도: 중간 / 운영 영향: 정상 API 요청 일부 오탐 가능성 / 검증: 테스트 페이로드 전송 시 WAF 차단 로그 확인.

3. 근본 (해결)

• 조치: 제품 버전별 최신 보안 업데이트 적용.
  • SharePoint 2016: $\ge$ 16.0.5456.1000
  • SharePoint 2019: $\ge$ 16.0.10412.20001
  • Subscription Edition: $\ge$ 16.0.17328.20424
• 난이도: 높음 / 운영 영향: 서비스 재시작으로 인한 일시적 다운타임 / 검증: 업데이트 후 빌드 버전 확인 및 취약점 스캔 수행.

잔여 리스크: 패치 전 이미 침투한 공격자가 설치했을 가능성이 있는 악성 플러그인이나 수정된 설정 파일은 제거되지 않으므로, 패치 전후 시스템 무결성 검사가 필수적입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.2 · KEV · EPSS=0.48735 · exploit=easy · in_scope=None