[방어] 분석 — CVE-2025-54253

• 심각도 critical · CVSS 10.0 · EPSS 0.87515 · 악용난이도 easy · KEV

본 취약점은 Adobe Experience Manager(AEM)의 설정 오류(Misconfiguration)를 통해 인증 없이 임의 코드 실행(RCE)이 가능한 결함입니다.

• 진입 경로: 추정: AEM의 Sling 서블릿 체인 내 특정 엔드포인트 또는 권한 검증이 누락된 관리자 인터페이스가 진입점이 됩니다.
• 작동 원리: 공격자는 특수하게 조작된 요청을 전송하여 보안 메커니즘을 우회하며, 이 과정에서 추정: Java 역직렬화(Deserialization) 또는 객체 주입이 발생하여 JVM 런타임 내의 가젯 체인(Gadget Chain)을 통해 OS 명령어를 실행합니다.
• 특징: 사용자 상호작용이 필요 없으며(UI:N), 네트워크를 통해 원격으로 공격이 가능(AV:N)합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 즉각적인 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터상 AV:N/AC:L/PR:N/UI:N은 인증되지 않은 외부 공격자가 네트워크를 통해 특별한 전제 조건이나 사용자 상호작용 없이도 원격으로 공격을 수행할 수 있음을 의미합니다. 특히 EPSS 수치가 0.87515로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 실제 환경에서 공격 도구가 유포되고 활발히 악용되고 있다는 실측 근거가 됩니다. 공격 표면은 Adobe Experience Manager(AEM)의 외부 노출 엔드포인트 및 설정 오류가 존재하는 관리 인터페이스/파라미터에 집중됩니다. 공격자는 잘못 설정된 보안 메커니즘을 우회하여 HTTP 요청만으로 임의 코드 실행(RCE)을 트리거할 수 있습니다. 결과적으로 낮은 진입 장벽과 검증된 익스플로잇의 존재로 인해, 패치되지 않은 모든 AEM 인스턴스는 즉각적인 침해 사고 위험에 노출되어 있습니다.

• 권한 탈취: 인증되지 않은 외부 공격자가 시스템 권한으로 임의 코드를 실행하여 서버 전체 제어권을 획득할 수 있습니다.
• 데이터 유출 및 파괴: AEM 내 저장된 콘텐츠, 설정 파일, 고객 데이터에 대한 무단 접근 및 수정/삭제가 가능합니다.
• 내부망 침투: Scope Change(S:C) 특성상, AEM 서버를 거점으로 DMZ 내부의 다른 자산으로 횡적 이동(Lateral Movement)을 시도하는 교두보로 활용될 위험이 매우 높습니다.

• 패턴: Misconfiguration $\rightarrow$ Auth Bypass $\rightarrow$ Insecure Deserialization $\rightarrow$ RCE 순의 체이닝 구조를 가집니다.
• 연계 가능성: JVM 클래스패스 내에 CommonsCollections나 Spring과 같은 라이브러리가 존재할 경우, 공격 성공률 및 영향도가 극대화됩니다.

WAF 우회(Encoding 등) 가능성이 높으므로 L7 경계 탐지와 JVM 내부 로그/행위 탐지를 병행해야 합니다.

1. WAF/IDS 패턴 탐지 (경계)

• 대상: HTTP Request Body 및 URL Parameter
• 패턴: Java 직렬화 데이터의 매직 넘버(AC ED 00 05 / Base64: rO0AB) 또는 AEM 특정 서블릿 경로에 대한 비정상적 POST 요청.
• 정규식 예시: /(?:.*)(?:rO0AB|ACED0005)(?:.*)/i (Base64 및 Hex 패턴 탐지)

2. SIEM 쿼리 기반 탐지 (로그)

• 소스: AEM request.log, error.log, OS Process Log
• 조건/임계값: 단일 IP에서 짧은 시간 내에 다수의 403/404 에러 발생 후, 특정 서블릿 경로로의 성공적인 POST 요청 및 직후 java 프로세스의 자식 프로세스(sh, cmd, curl, wget) 생성.
• 의사코드:
  SELECT timestamp, src_ip, request_path FROM aem_logs WHERE status=200 AND method='POST' AND (request_body LIKE '%rO0AB%' OR request_path LIKE '%/bin/%') $\rightarrow$ JOIN $\rightarrow$ OS_Process_Logs WHERE parent_process='java' AND process_name IN ('sh', 'bash', 'cmd.exe')

3. 런타임 행위 탐지 (EDR)

• 탐지 지표: JVM(java.exe 또는 java)이 비정상적인 네트워크 연결을 생성하거나, /tmp, /var/tmp 경로에 실행 권한이 있는 파일을 생성하는 행위.

오탐 튜닝 및 주의사항

• AEM의 정상적인 관리자 기능이나 내부 API 호출 시 발생하는 직렬화 데이터와 구분해야 합니다.
• 튜닝: 화이트리스트 기반의 신뢰할 수 있는 관리자 IP 대역을 제외하고, 해당 패턴이 발견되는 경우 즉시 격리하는 정책을 권고합니다.

본 건은 다중 소스에서 일관성이 확인되었으며, 특히 EPSS 0.87515(실제 악용 예측 최상위) 및 KEV 등재 사실에 근거하여 Immediate(24시간 내) 대응이 필요합니다.

1. 즉시 조치 (긴급 차단)

• 방법: AEM Dispatcher의 filter 규칙을 수정하여 외부에서 접근 불필요한 /bin/, /system/console/ 등 관리자 관련 엔드포인트 및 취약점이 의심되는 서블릿 경로를 전면 차단(Deny).
• 난이도: 낮음 / 운영 영향: 중간 (특정 기능 제약 가능성) / 검증: 외부망에서 해당 경로 접근 시 403 Forbidden 확인.

2. 단기 조치 (위험 완화)

• 방법:
  • 네트워크 ACL을 통해 AEM 관리 콘솔 접근을 특정 내부 IP로만 제한.
  • JVM 런타임 가젯 차단 라이브러리(예: SerialKiller 등)를 적용하여 위험한 클래스의 역직렬화를 블랙리스트 방식으로 차단.
  • DMZ 내 AEM 서버와 내부망 간의 아웃바운드 트래픽을 최소화하여 횡적 이동 경로 차단.
• 난이도: 중간 / 운영 영향: 낮음 / 검증: 가젯 체인을 이용한 무해한 PoC 시도 시 차단 여부 확인.

3. 근본 해결 (패치)

• 방법: Adobe Experience Manager 6.5.24 이상 버전으로 업데이트 적용.
• 난이도: 높음 / 운영 영향: 높음 (서비스 재시작 및 호환성 테스트 필요) / 검증: 패치 후 버전 확인 및 취약점 스캔 도구를 통한 재검증.

패치 후 잔여 리스크

• 패치 이후에도 설정 오류(Misconfiguration)가 다른 경로로 존재할 수 있으므로, 전체적인 권한 매트릭스 및 Dispatcher 필터 설정의 전수 조사가 필요합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.87515 · exploit=easy · in_scope=None