[방어] 분석 — CVE-2023-49103

• 심각도 critical · CVSS 10.0 · EPSS 0.78428 · 악용난이도 easy · KEV

공격자는 owncloud/graphapi 앱에 포함된 서드파티 라이브러리 GetPhpInfo.php가 제공하는 특정 엔드포인트에 HTTP 요청을 보냅니다. 이 엔드포인트는 별도의 인증 없이 PHP 환경 설정 정보(phpinfo)를 출력하며, 특히 컨테이너 환경에서는 OS 환경 변수가 그대로 노출됩니다. 공격자는 이를 통해 관리자 비밀번호, 메일 서버 자격 증명, 라이선스 키 등 민감 정보를 수집합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(easy), 실제 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터가 AV:N/AC:L/PR:N/UI:N인 점은 인증되지 않은 외부 공격자가 특별한 전제 조건 없이 네트워크를 통해 즉시 접근 가능하다는 것을 의미합니다. 특히 EPSS 수치가 0.78428로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재된 점은, 이론적 위험을 넘어 실제 공격자들이 이미 이 취약점을 타겟팅하여 자동화된 스캐닝 및 탈취를 진행하고 있음을 입증합니다. 공격 표면은 owncloud/graphapi 앱 내의 GetPhpInfo.php 엔드포인트이며, 단순한 HTTP GET 요청만으로 트리거됩니다. 이를 통해 노출되는 PHP 환경 변수에는 관리자 비밀번호, 메일 서버 자격 증명 등 컨테이너 환경의 핵심 기밀 정보가 포함되어 있어, 단 한 번의 요청으로 시스템 전체 권한이 탈취될 수 있는 치명적인 경로를 제공합니다.

• 민감 정보 유출: OWNCLOUD_ADMIN_PASSWORD, DB 접속 정보, API Key 등이 평문으로 노출됩니다.
• 권한 상승 및 완전 장악: 유출된 관리자 계정이나 Secret(예: JWT Secret)을 이용해 인증을 우회하고 시스템 전체 권한을 획득할 수 있습니다.
• 인프라 확장 공격: 메일 서버 자격 증명 등이 유출될 경우, 내부망의 다른 서비스로 공격 범위가 확대됩니다.

• Information Disclosure $\rightarrow$ RCE: phpinfo를 통해 노출된 PHP 확장 모듈 경로, 설정값 및 환경 변수를 활용하여 LFI(Local File Inclusion)나 파일 업로드 취약점과 체이닝할 경우 원격 코드 실행(RCE)으로 이어질 가능성이 높습니다.

본 취약점은 특정 파일에 대한 HTTP GET 요청만으로 트리거되므로 웹 서버 로그 및 WAF 로그에서 명확한 패턴이 나타납니다. 다중 소스 교차검증을 통해 일관된 경로가 확인되었으므로 아래 시그니처를 적용합니다.

1. 탐지 지표

• 로그 위치: Apache/Nginx Access Log, WAF Request Log
• 핵심 필드: request_uri, http_method
• 탐지 패턴: GetPhpInfo.php 문자열이 포함된 GET 요청

2. 탐지 규칙 예시

• SIEM 의사코드 (Splunk/ELK 스타일):
  index=web_logs method=GET uri_path="*GetPhpInfo.php*" | stats count by src_ip, uri_path
• WAF 정규식 패턴:
  (?i).*/GetPhpInfo\.php.* (대소문자 구분 없이 해당 파일 접근 시도 탐지)

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 관리자가 시스템 점검을 위해 직접 호출하는 경우.
• 튜닝 방법: 내부 관리자 IP 대역(White-list)을 제외하되, 해당 파일은 운영 환경에서 사용될 이유가 없으므로 원칙적으로 모든 외부 접근을 'Critical' 알람으로 설정합니다.

본 취약점은 CVSS 10.0의 치명적 점수와 KEV(Known Exploited Vulnerabilities) 등재, 그리고 EPSS 0.78428이라는 매우 높은 실측 악용 예측치를 보입니다. 이는 이론적 위험을 넘어 실제 공격이 빈번함을 뜻하므로 규칙 기반 우선순위에 따라 immediate 대응이 필요합니다.

1. 즉시 (긴급 차단) - 오늘 당장 적용할 방법

• 조치: WAF 또는 웹 서버(Apache/Nginx) 설정에서 GetPhpInfo.php 경로에 대한 접근을 전면 차단(403 Forbidden) 처리합니다.
• 난이도: 매우 낮음 / 운영 영향: 없음 (정상 서비스 기능과 무관) / 검증: 외부에서 해당 URL 호출 시 403 응답 확인.

2. 단기 (위험 완화)

• 조치:
  • graphapi 앱 비활성화 (단, 사실 근거에 따라 이것만으로는 부족하므로 파일 삭제/이름 변경 병행 필요).
  • 유출 가능성이 있는 모든 환경 변수(Admin PW, DB PW, License Key)의 비밀번호 로테이션 및 Secret 교체.
• 난이도: 보통 / 운영 영향: 낮음 (비밀번호 변경에 따른 설정 업데이트 필요) / 검증: 신규 비밀번호로 로그인 확인.

3. 근본 (해결)

• 조치: owncloud/graphapi 버전을 0.2.1 또는 0.3.1 이상으로 업그레이드하여 취약한 서드파티 라이브러리를 제거합니다.
• 난이도: 보통 / 운영 영향: 낮음 (패치 적용 후 서비스 재시작 필요) / 검증: 업데이트 후 GetPhpInfo.php 파일 존재 여부 및 접근 불가 확인.

잔여 리스크: 패치 후에도 이미 유출된 자격 증명이 공격자에게 저장되어 있을 수 있으므로, 반드시 비밀번호 로테이션이 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.78428 · exploit=easy · in_scope=None