[단독분석] 분석 — CVE-2025-49704

• 심각도 high · CVSS 8.8 · EPSS 0.99915 · 악용난이도 easy · KEV

• 유형: Code Injection (CWE)
• 경로: 네트워크를 통해 인증된 사용자(Authorized Attacker)가 취약한 엔드포인트에 접근하여 조작된 입력을 전달함으로써 발생합니다.
• 단계: 입력값 검증 및 코드 생성 제어 미흡을 이용하여 서버 측에서 임의의 코드를 주입하고, 이를 실행시켜 최종적으로 Remote Code Execution(RCE) 단계로 진입합니다.

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 네트워크를 통해 원격으로 접근 가능한 AV:N 및 낮은 공격 복잡도의 AC:L 특성을 가져, 공격자가 내부망 진입 후 타겟 서버에 도달하기 매우 용이한 구조입니다. 비록 권한이 필요한 PR:L 조건이 존재하나, SharePoint의 일반 사용자 계정만으로도 트리거가 가능하므로 실제 진입 장벽은 낮습니다. 특히 EPSS 0.99915라는 극히 높은 수치와 KEV 등재 사실은 이론적 위험을 넘어 이미 야생(In-the-wild)에서 공격 코드가 활발히 유통되고 있음을 입증합니다. 공격 표면은 SharePoint의 코드 생성 제어 로직이 포함된 특정 엔드포인트 및 파라미터에 노출되어 있으며, 이를 통해 임의의 코드를 주입하는 Code Injection 형태로 발현됩니다. 따라서 권한을 가진 내부자나 계정을 탈취한 외부 공격자가 특수하게 조작된 요청을 전송함으로써 서버 측에서 원격 코드 실행(RCE)을 달성할 가능성이 매우 높습니다.

• 영향 제품 및 규모:
  • Microsoft SharePoint Enterprise Server 2016 (16.0.0 $\le$ x < 16.0.5508.1000)
  • Microsoft SharePoint Server 2019 (16.0.0 $\le$ x < 16.0.10417.20027)
  • 기업 내부 협업 플랫폼으로 사용되는 제품 특성상, 권한을 가진 내부자나 계정을 탈취한 외부 공격자에 의해 광범위하게 악용될 수 있습니다.
• 기술적 위험:
  • 시스템 장악: RCE를 통해 서버의 OS 수준 제어권을 획득할 수 있으며, 이는 기밀 데이터 유출 및 시스템 설정 변경으로 이어집니다.
  • 횡적 이동(Lateral Movement): SharePoint 서버가 내부 망의 중심에 위치하는 경우가 많으므로, 이를 거점으로 내부 네트워크 내 다른 자산으로 공격을 확장할 가능성이 매우 높습니다.
• 비즈니스 리스크:
  • 데이터 기밀성 상실: 기업 내부 문서 및 민감 정보의 대량 유출 위험이 있습니다.
  • 서비스 가용성 저해: 악성 코드 실행을 통한 시스템 파괴나 랜섬웨어 감염 시 서비스 중단 및 비즈니스 연속성 훼손이 발생합니다.
  • 컴플라이언스 위반: 민감 데이터 보호 실패로 인한 법적 규제 및 대외 신뢰도 하락이 예상됩니다.

• 패턴 연계: 인증된 사용자가 권한을 상승시키거나, 다른 로컬 권한 상승(LPE) 취약점과 체이닝하여 시스템 최고 권한(SYSTEM/Administrator)을 획득하는 시나리오가 가능합니다.

• 로그 분석: SharePoint 서버 로그 및 IIS 로그에서 비정상적인 코드 패턴이나 예기치 않은 시스템 명령 실행 시도(cmd.exe, powershell.exe 등)를 모니터링합니다.
• 네트워크 트래픽: 인증된 세션 내에서 발생하는 평소와 다른 형태의 대량 데이터 전송 또는 이상한 페이로드가 포함된 HTTP Request 패턴을 탐지합니다.

• 근본 해결: 영향받는 제품 버전(SharePoint 2016, 2019)에 대해 Microsoft에서 제공하는 최신 보안 업데이트를 즉시 적용하십시오.
• 즉시 조치:
  • 패치 적용 전까지 불필요한 사용자 권한을 최소화하고, 신뢰할 수 없는 사용자의 접근을 제한합니다.
  • EDR/WAF 등을 통해 알려진 RCE 패턴의 유입을 차단하는 시그니처를 적용하십시오.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석되었습니다.
• 실측 악용예측: EPSS 0.99915(백분위 0.99968)는 이론적 심각도와 별개로 실제 야생에서 악용될 확률이 최고 수준임을 의미하며, 이는 즉각적인 대응의 핵심 근거가 됩니다.
• 우선순위 결정: CVSS 8.8의 높은 점수뿐만 아니라 KEV(Known Exploited Vulnerabilities) 등재 및 EPSS 수치, Exploit 난이도(Easy)를 종합하여 'Immediate(24시간 내)' 대응으로 결정되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=8.8 · KEV · EPSS=0.99915 · exploit=easy · in_scope=None