[단독분석] 분석 — CVE-2023-35078

• 심각도 critical · CVSS 9.8 · EPSS 0.99999 · 악용난이도 easy · KEV

• 네트워크를 통해 접근 가능한 Ivanti EPMM 관리 API/UI에 인증 헤더 없이 HTTP POST/GET 요청을 전송하면, 내부 인증 로직이 우회되어 로그인 없이 관리자 기능을 사용할 수 있습니다.
• AV:N / AC:L / PR:N / UI:N 벡터가 나타내듯 사전 권한·사용자 상호작용이 필요 없으며 자동화 스크립트나 봇으로도 손쉽게 악용됩니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 평가되어, 네트워크를 통해 언제든지 접근 가능하고 공격 복잡도가 낮으며 별도의 권한이나 사용자 동작 없이도 악용될 수 있음을 의미합니다. EPSS 값이 0.99999 로 매우 높게 측정돼 실제 공격이 발생할 확률이 거의 확실하다는 점을 보여주며, KEV(악용 확인) 목록에 등재된 점은 이미 야생 환경에서 악용 사례가 보고되었음을 증명합니다. 공격자는 인증 절차를 우회하는 특정 API 엔드포인트에 정형화된 요청을 전송함으로써 Ivanti EPMM 의 제한된 기능이나 자원에 무단 접근할 수 있습니다. 해당 엔드포인트는 외부 네트워크에 노출되어 있어 방화벽이나 인증 게이트웨이 없이도 직접 호출이 가능하므로, 공격 표면이 넓다고 할 수 있습니다. 트리거 조건은 단순히 올바른 요청 형식만 충족하면 되며, 별도의 사전 정보나 권한 상승 단계가 필요하지 않습니다. 따라서 방어 입장에서는 이 취약점의 난이도가 ‘easy’ 로 평가되는 것이 합당합니다.

• 기술적 위험
  • 인증 없이 관리 콘솔 및 /api/* 엔드포인트에 접근 → 설정 변경, 민감 데이터 열람·수정, 시스템 전반 제어권 획득 가능.
    • 권한 상승 후 추가적인 명령 실행·코드 배포가 가능해 전체 엔터프라이즈 환경으로 확산 위험이 존재합니다.
• 비즈니스 리스크
  • 무단 설정 변경·데이터 유출로 서비스 가용성 저하 및 운영 중단 우려.
  • 개인정보보호법·규제 위반 시 법적·재정적 제재 가능.
• 노출 규모
  • 영향을 받는 제품은 Ivanti Endpoint Manager Mobile의 지정된 버전(※ < 11.8.1.1, 11.9.0‑11.9.1.1, 11.10‑11.10.0.2) 전부이며, 해당 솔루션을 운영 중인 모든 엔드포인트가 네트워크에 노출될 경우 동일하게 위험에 처합니다.
• 근거: 다중 소스 교차검증 결과(신뢰도 1.0)와 EPSS 0.99999 (실제 악용 가능성이 최고 수준)·KEV 등재를 통해 즉시 대응이 필요함을 확인했습니다.

• 인증 우회 자체가 권한 상승이나 원격 코드 실행(RCE)과 같은 다른 취약점과 결합될 경우, 전체 시스템 장악으로 이어질 가능성이 있습니다. 현재 구체적인 연계 CVE는 확인되지 않았으나 동일 제품군에서 보고된 권한 상승·RCE 유형과의 체이닝 위험을 염두에 두어야 합니다.

• SIEM/로그에서 Authorization 헤더 없이 /api/* 혹은 /admin* 경로에 대한 요청을 모니터링합니다.
• 비정상적인 IP·시간대에서 발생하는 단일 HTTP POST/GET 이벤트를 경보 규칙으로 설정합니다 (예: request.method=POST AND NOT request.headers.Authorization).

• 즉시 조치
  • 외부 네트워크로부터 Ivanti EPMM 관리 API 접근을 차단하고, 내부망에서도 IP 기반 허용 리스트를 적용합니다.
  • 기존 세션·인증 토큰을 전부 무효화하고 다중 요소 인증(MFA)을 도입합니다.
• 근본 해결
  • Ivanti에서 제공하는 패치를 신속히 적용하고, 지원되는 최신 버전(> 11.10.0.2)으로 업그레이드합니다.
  • 패치 적용 후 서비스 재시작 및 설정 검증을 수행해 정상 동작 여부를 확인합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99999 · exploit=easy · in_scope=None