[분석가] 분석 — CVE-2021-22893

• 심각도 critical · CVSS 10.0 · EPSS 0.47172 · 악용난이도 easy · KEV

• 공격자는 네트워크 상에서 인증 없이 Windows File Share Browser 또는 Pulse Secure Collaboration 기능에 접근합니다.
• 해당 요청이 내부 인증 토큰 검증 로직을 우회하여 관리 콘솔 세션을 생성하고, 임의 코드를 실행할 수 있는 RCE 경로를 열어줍니다.
• 공격 성공 시 별도의 사용자 상호작용 없이 원격에서 명령을 실행할 수 있습니다 (AV:N/AC:L/UI:N).

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크를 통해 인증 없이 즉시 접근할 수 있음을 의미합니다. Pulse Connect Secure의 Windows File Share Browser와 Collaboration 기능이 외부에 노출된 HTTP(S) 엔드포인트(예: /+CSCOE+/file_share)를 통해 인증 우회를 수행하므로 사전 준비가 거의 필요하지 않습니다. EPSS 0.47172는 약 47 % 확률로 악용될 가능성을 나타내며, KEV에 등재된 점은 이미 실전에서 활용되고 있음을 확인하는 근거입니다. 공격자는 별도의 권한 상승 단계 없이 원격 임의 코드 실행 페이로드를 전달할 수 있어 난이도는

• 기술적 위험: 인증 우회 → 관리 콘솔·API 전체 제어 → 임의 코드 실행 → 내부 네트워크로의 횡적 이동 및 추가 악성 행위 가능.
• 비즈니스 리스크: 원격 접속 게이트웨이( VPN/SSL‑VPN) 가용성 상실, 기업 내부 시스템에 대한 무단 접근으로 인한 데이터 유출·규제 위반 위험, 고객 신뢰도 하락.
• 영향 제품: Ivanti Connect_Secure (Pulse Connect Secure) 9.0R3, 9.1R1 이상 버전 전부(다중 소스에서 일관성이 확인됨).
• 노출 규모: 해당 제품을 사용 중인 모든 조직이 동일 네트워크 경계에 노출될 수 있으며, 공급망 차원에서 다수의 엔드포인트가 영향을 받을 가능성이 높음.

• 유사한 인증 우회와 메모리 손상 결합 형태(CWE‑287 / CWE‑416) 의 다른 CVE와 연계되어, 초기 우회를 통해 추가 권한 상승 또는 서비스 거부 공격을 수행할 수 있습니다.
• 현재 확인된 구체적인 체이닝 CVE 번호는 없으나, 동일 제품군에서 보고된 API 토큰 검증 결함(추정)이 존재할 경우 복합 공격 시나리오가 구성될 수 있습니다.

• 네트워크: /file_share_browser 혹은 /pulse_collaboration 경로에 대한 비인증 HTTP GET/POST 요청이 발생하면 알림.
• 시스템 로그: 관리 콘솔 세션 생성 시 “AuthenticatedUser” 필드가 비어 있거나 ‘anonymous’ 로 기록되는 경우.
• 프로세스/명령: Pulse Connect Secure 서비스가 예상치 못한 쉘 명령이나 스크립트를 실행하는 흔적.
• IDS/IPS 서명 예시 (축약): GET /pulse_collaboration.* HTTP/1\.1 + User‑Agent: .*Mozilla.* → 경고.

• 즉시 조치

  1. 외부에서 Windows File Share Browser 및 Pulse Secure Collaboration 기능에 대한 접근을 방화벽·IPS 로 차단합니다.
  2. 관리 콘솔과 API 엔드포인트를 내부 전용 네트워크로 제한하고, MFA 적용 여부를 검토합니다.
  3. 현재 사용 중인 Ivanti Connect_Secure 버전이 9.0R3/9.1R1 이상이라면, Ivanti에서 제공한 최신 보안 패치를 즉시 적용합니다.

• 근본 해결

  • 공급업체가 배포하는 정식 패치(보안 업데이트) 적용 후, 서비스 재시작 및 정상 동작 확인.
  • 인증 토큰 검증 로직(특히 API) 전반을 재점검하고, 의심스러운 세션 로그를 주기적으로 감사합니다 (DGX_C 의견 반영).
  • 침해 사고 시나리오에 대비해 내부 네트워크에서 횡적 이동 탐지를 강화하고, 탈취된 세션 토큰·자격 증명 여부를 전수 조사합니다 (DGX_3 의견 반영).

위 조치를 24시간 이내에 완료하는 것이 권고되며, EPSS 0.47172와 KEV 등재 사실을 고려할 때 즉각적인 대응이 비즈니스 연속성 확보에 필수적입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.47172 · exploit=easy · in_scope=None