[방어] 분석 — CVE-2020-1147

• 심각도 high · CVSS 7.8 · EPSS 0.93966 · 악용난이도 easy · KEV

.NET Framework·SharePoint·Visual Studio가 XmlDocument, XmlSerializer 등 XML 파서를 호출할 때 DTD(Doctype)와 외부 엔터티를 검증하지 않으면, 공격자는 < !DOCTYPE … [ <!ENTITY … >]> 형태의 특수 XML을 업로드하거나 API 요청 본문에 삽입한다. 파싱 과정에서 XmlResolver가 외부 리소스를 로드하고, 내부적으로 역직렬화(gadget chain)된 객체가 실행돼 프로세스 권한으로 임의 코드를 수행한다. UI‑상호작용이 필요하므로 사용자가 XML을 열거나 SharePoint 업로드 화면에 파일을 제출하면 트리거된다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:N/UI:R에 따르면, 공격자는 로컬에서 낮은 복잡도로 파일을 제공하기만 하면 되며 권한이 전혀 필요하지 않지만 사용자가 해당 XML 파일을 열거나 업로드하도록 유도하는 사용자 상호작용이 요구됩니다. PR가 None이므로 일반 사용자 계정이라도 취약점을 트리거할 수 있습니다. EPSS 값 0.93966은 실제 환경에서 약 94% 확률로 악용

• 기밀성(C): 성공 시 시스템 계정·도메인 관리자 권한으로 AD 및 내부 데이터베이스에 접근 가능.
• 무결성(I): 악성 코드가 실행돼 레지스트리, 파일, 서비스 설정 등을 임의로 변경할 수 있음.
• 가용성(A): 프로세스 충돌·서비스 재시작이 발생하여 SharePoint 포털이나 Visual Studio 서버가 일시 중단될 수 있음.

• XML External Entity(XXE)와 유사한 CWE‑611 패턴이 기본 전제이며, 역직렬화(gadget chain)와 결합돼 CWE‑20(입력 검증 부재)로 확대될 수 있음.
• 성공적인 RCE 후 로컬 권한 상승·도메인 컨트롤러 탈취 기법과 연계될 위험이 존재함.

로그 소스 및 핵심 필드

1. Windows 이벤트 로그 – .NET Runtime (Event ID 1000)
   • Message에 XmlException, DTD processing, <!ENTITY 또는 <!DOCTYPE 문자열 포함 여부.
2. IIS/SharePoint 요청 로그
   • csMethod = POST, csUriStem이 SharePoint 업로드 경로(/_layouts/15/…)에 해당하고, csRequestBody에 <!ENTITY·<!DOCTYPE 패턴 존재 여부.
3. Sysmon (Event ID 1 – 프로세스 생성)
   • Image가 dotnet.exe 또는 w3wp.exe이고, CommandLine에 -xml, -config 등 XML 파싱 옵션이 포함된 경우.

SIEM 탐지 규칙 예시 (KQL/SQL‑like 형식, 코드펜스 없이)

1. DTD 패턴 감지

   text복사

    1source=WindowsEvent
    2  | where EventID == 1000
    3  | where Message contains "XmlException"
    4    and (Message matches "(?i)<\!ENTITY|<\!DOCTYPE")

   • 오탐 튜닝: Source가 “Microsoft‑Office” 등 내부 문서 생성 서비스인 경우 제외.

2. SharePoint XML 업로드 감시

   text복사

    1source=IIS_Logs
    2  | where csMethod == "POST"
    3    and csUriStem contains "/_layouts/15/"
    4    and csRequestBody matches "(?i)<\!ENTITY\s+[^>]+>"

   • 오탐 튜닝: 내부 자동화 스크립트가 정기적으로 DTD를 사용하는 경우 csUserAgent에 “SharePointDesigner” 포함 시 화이트리스트.

3. 비정상 .NET 프로세스 실행

   text복사

    1source=Sysmon
    2  | where EventID == 1
    3    and Image endswith "dotnet.exe"
    4    and ParentImage endswith "w3wp.exe"
    5    and CommandLine contains "--xml"

   • 오탐 튜닝: 허용된 배치 작업(ReportGenerator)에 한해 CommandLine에 해당 문자열이 포함될 경우 제외.

검증 방법

• 위 규칙을 24 시간 동안 적용 후 알림 건수를 샘플링하고, 실제 XML 본문을 수동 분석하여 악성 여부를 판단한다. 오탐 비율이 5 % 이하가 될 때까지 정규식·화이트리스트를 조정한다.

• 취약 .NET 버전 전용 XmlReader 설정 강화
  • web.config 혹은 애플리케이션 초기화 코드에 <runtime><AppContextSwitchOverrides value="Switch.System.Xml.DisableXmlResolver=true"/></runtime> 와 함께 XmlReaderSettings.DtdProcessing = Prohibit 를 적용한다.
  • 대상: .NET Framework 4.6 이하, 해당 SharePoint·Visual Studio 서버만 선택적으로 적용.
  • 구현 난이도: 중간 (구성 파일 수정 및 서비스 재시작 필요).
  • 운영 영향: 기존 DTD 의존 기능(예: 특정 문서 변환)에서 XmlException 발생 가능 → 사전 테스트 권고.
  • 검증: 정상 XML 요청 시 200 OK, 악의적 XML 전송 시 로그에 “DTD processing is prohibited” 가 남는지 확인한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=0.93966 · exploit=easy · in_scope=None