[방어] 분석 — CVE-2021-20038

• 심각도 critical · CVSS 9.8 · EPSS 0.99899 · 악용난이도 easy · KEV

• 외부 공격자는 HTTP GET/POST 요청의 환경 변수에 과도하게 긴 값을 삽입한다.
• mod_cgi 모듈이 해당 변수를 복사하면서 스택 버퍼를 초과해 스택 기반 오버플로우(CWE‑121) 가 발생하고, 조작된 반환 주소가 실행되어 공격자가 임의 코드를 실행한다.
• 취약점은 네트워크 접근만 있으면 인증·사용자 입력 없이 바로 이용 가능하므로 초기 침투 단계에서 활용될 수 있다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한(AV:N) 서비스이며, 공격 수행에 특별한 사전 준비가 필요하지 않은 낮은 복잡도(AC:L)와 인증·사용자 상호작용 없이 바로 시도할 수 있는 조건(PR:N/UI:N)을 가집니다. 따라서 원격에서 임의의 HTTP 요청만 전송하면 스택 기반 버퍼 오버플로우를 트리거할 수 있어, 실제 공격자는 별도의 권한 상승 단계 없이 ‘nobody’ 사용자 권한으로 코드를 실행할 가능성이 높습니다. EPSS 점수가 0.99899 (≈ 99.9 %) 로 매우 높은데, 이는 과거 관측된 악용 사례와 일치하며 현재도 실질적인 위협이 지속되고 있음을 의미합니다. 또한 KEV(Known Exploited Vulnerabilities) 리스트에 등재돼 있어 이미 공격자들이 활발히 이용하고 있다는 사실을 확인할 수 있습니다. 트리거 조건은 mod_cgi 모듈이 처리하는 CGI 스크립트 호출 시, 환경 변수에 전달되는 과도한 길이의 파라미터(예: QUERY_STRING 또는 HTTP 헤더)를 포함한 특수하게 조작된 HTTP 요청입니다. 공격 표면은 외부에 노출된 Apache httpd 서버(포트 80/443)와 해당 모듈이 활성화된 모든 엔드포인트이며, 특히 CGI 스크립트를 제공하는 URL 경로가 그대로 노출될 경우 위험이 크게 확대됩니다.

• 성공 시 코드 실행 권한이 “nobody” 사용자(제한된 권한)로 획득되며, 동일 장비 내 다른 서비스와 파일 시스템에 대한 추가 권한 상승이 가능하다.
• 주요 위험: 기밀 데이터 탈취, 내부 네트워크 이동, 악성 스크립트 배포 등 전체 기기 조작 수준의 위협.

• 추정: 동일 제품군에서 과거에 보고된 스택 기반 버퍼 오버플로우(CWE‑121) 와 환경 변수 처리 오류(CWE‑787) 가 연계 공격에 활용될 가능성이 있다.
• 추정: 악용 후 획득한 “nobody” 셸을 이용해 권한 상승 취약점(예: SUID 바이너리 오버플로우)과 결합하면 루트 권한까지 확대될 수 있다.

• 로그 위치: SMA Appliance의 /var/log/httpd/error_log 및 access_log; 시스템 이벤트 로그 (/var/log/messages)에 “segmentation fault” 또는 “core dumped” 항목이 기록됨.
• 핵심 필드:
  • request_uri (과도한 길이, > 1024 bytes)
  • query_string / env_var (특정 프리픽스 SMA_ 로 시작하는 비정상적 값)
  • status_code = 500/502와 함께 “SIGSEGV” 메시지
• SIEM 쿼리 예시 (Splunk):
  text복사

   1index=sonicwall sourcetype=httpd_error 
   2| regex _raw="(Segmentation fault|core dumped)" 
   3| stats count by clientip, request_uri 
   4| where strlen(request_uri) > 1024

• ElasticSearch DSL 예시:
  text복사

   1{
   2  "bool": {
   3    "must": [
   4      {"match_phrase": {"message": "Segmentation fault"}},
   5      {"script": {"script": "doc['request_uri'].value.length() > 1024"}}
   6    ]
   7  }
   8}

• 오탐 시나리오: 대용량 파일 업로드, 내부 테스트 스크립트가 긴 URL을 생성하는 경우.
  • 튜닝 방법: clientip 가 외부(예: 비공인 서브넷)인 경우에만 알림, 정상적인 내부 관리 IP는 제외.

• 즉시(긴급 차단) – 외부에서 SMA HTTP(S) 포트(80/443)로의 접근을 ACL 로 차단하고, 필요 시 VPN 터널을 통해 관리자 전용으로만 허용한다.

  • 난이도: ★★ (방화벽 규칙 추가)
  • 운영 영향: 외부 웹 관리 UI 일시 중단 → 내부 전용 접속으로 대체 필요
  • 검증: 차단 후 curl 로 외부 IP에서 포트 연결 시도 시 “Connection refused” 확인

• 단기(완화) – mod_cgi 모듈 비활성화 혹은 환경 변수 길이 제한 적용 (LimitRequestFieldSize 를 512 bytes 이하로 설정).

  • 난이도: ★★★ (Apache 설정 파일 수정 및 서비스 재시작)
  • 운영 영향: CGI 기반 기능(예: 일부 API, 스크립트) 사용 불가 → 대체 방법 검토 필요
  • 검증: 설정 적용 후 httpd -t 로 구문 검사, 정상적인 요청 시 200 응답 확인

• 근본(해결) – SonicWall에서 제공하는 펌웨어 버전 10.2.1.2‑24sv 이상 또는 최신 패치 릴리즈로 업그레이드한다.

  • 난이도: ★★★★ (펌웨어 다운로드, 백업, 유지보수 창 확보)
  • 운영 영향: 재부팅 필요 → 서비스 중단 시간 발생(계획된 유지보수 창 내 수행 권장)
  • 검증: 업그레이드 후 show version 으로 펌웨어 버전 확인, 동일 취약점 탐지 쿼리에서 “no results” 확인

• 잔여 리스크 – 패치 적용 전까지는 위 즉시 차단과 단기 설정으로 공격 표면을 최소화하고, 로그 모니터링을 지속해 의심 트래픽이 발견되면 추가 IP 차단을 수행한다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 외부 IP 확인 후 ACL에 즉시 차단 (즉시 조치)
  2. /var/log/httpd/error_log 에 “Segmentation fault” 가 있는지 검색
  3. 해당 세션의 clientip, request_uri 를 추출해 포렌식 로그와 연계
  4. 필요 시 침해 증거(코어 덤프, 메모리 스냅샷) 확보 후 보안팀에 보고
  5. 패치 적용 일정 수립 및 긴급 업그레이드 진행

이 리포트는 다중 소스 교차검증(불일치 없음), 실측 EPSS 0.99899(악용 가능성이 거의 100%에 가깝고 CVSS 9.8과 독립적으로 위험도가 높음) 및 규칙 기반 우선순위 결정(KEV 등재·즉시 대응) 절차를 거쳐 작성되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99899 · exploit=easy · in_scope=None