[방어] 분석 — CVE-2023-20198

• 심각도 critical · CVSS 10.0 · EPSS 0.99571 · 악용난이도 easy · KEV

인증되지 않은 외부 공격자가 Cisco IOS XE의 Web UI(HTTPS) 엔드포인트에 접근하여 CVE-2023-20198을 통해 최초 진입합니다. 이후 Privilege 15 권한으로 로컬 사용자 계정을 생성하여 정상적인 로그인 경로를 확보하고, 다시 Web UI의 다른 컴포넌트를 악용해 root 권한으로 상승시켜 파일 시스템에 임플란트(Implant)를 설치하는 체이닝 공격을 수행합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 실제 악용 가능성은 극히 높습니다. CVSS 벡터가 AV:N/AC:L/PR:N/UI:N인 점은 네트워크 연결만 되어 있다면 인증이나 사용자 상호작용 없이도 외부에서 즉시 트리거 가능하다는 것을 의미합니다. 특히 EPSS 수치가 0.99571로 매우 높고 KEV에 등재된 사실은, 이론적 위험을 넘어 이미 공격자들이 자동화된 도구를 통해 실제 환경에서 광범위하게 악용하고 있음을 입증합니다. 주요 공격 표면은 Cisco IOS XE Software의 Web UI 기능이며, 외부로 노출된 HTTP/HTTPS 엔드포인트가 직접적인 진입점이 됩니다. 공격자는 먼저 CVE-2023-20198을 통해 권한 없이 초기 접근을 획득하고 로컬 사용자를 생성한 뒤, 이어서 CVE-2023-20273을 이용해 root 권한으로 상승하여 파일 시스템에 임플란트를 설치하는 체인을 형성합니다. 결과적으로 외부 노출된 Web UI 인터페이스 하나만으로 전체 장비의 제어권을 탈취할 수 있는 치명적인 구조입니다.

• 완전한 장비 제어권 상실: Privilege 15 및 root 권한 탈취로 인해 설정 변경, 트래픽 가로채기 및 조작이 가능합니다.
• 지속성 확보(Persistence): 파일 시스템에 기록된 임플란트를 통해 재부팅 후에도 공격자의 접근 권한이 유지됩니다.
• 내부망 거점화: 네트워크 핵심 장비가 침해되었으므로, 이를 교두보 삼아 내부 자산으로 횡적 이동(Lateral Movement)을 수행할 위험이 매우 높습니다.

'인증 우회 $\rightarrow$ 권한 상승 $\rightarrow$ 지속성 확보'로 이어지는 체이닝 구조입니다. CVE-2023-20198을 통해 초기 진입 후, CVE-2023-20273을 이용하여 root 권한 획득 및 임플란트 설치 단계로 전이됩니다.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, 특히 EPSS 0.99571은 이론적 심각도와 별개로 실제 악용 예측치가 최고 수준임을 의미합니다. 외부 노출 여부와 관계없이 내부망 침투 후 횡적 이동 경로가 될 수 있으므로 다음 지표를 모니터링해야 합니다.

1. 탐지 지표 및 로그 위치

• 로그 소스: Cisco IOS XE Syslog, HTTP Server Access Logs
• 핵심 필드: source_ip, request_uri, http_method, user_agent, event_id (계정 생성/수정)

2. 탐지 규칙 예시

• Rule 1: 비인가 IP의 고권한 계정 생성 (SIEM 의사코드)
  SELECT * FROM syslog WHERE event_id = 'USER_CREATED' AND privilege_level = 15 AND source_ip NOT IN (Trusted_Admin_IPs)
  (조건: 신뢰할 수 없는 소스 IP에서 Privilege 15 계정이 생성되는 경우 즉시 경보)
• Rule 2: Web UI 비정상 요청 패턴 (정규식/패턴)
  HTTP_REQUEST matches /.*(추정: 특정 API 엔드포인트 및 파라미터).*/ AND http_method = 'POST' AND auth_status = 'unauthenticated'
  (조건: 인증되지 않은 상태에서 권한 상승을 유도하는 Web UI 경로로의 POST 요청 식별)
• Rule 3: 비정상적 파일 시스템 쓰기 시도 (추정)
  SELECT * FROM system_logs WHERE process = 'webui' AND action = 'file_write' AND path matches '/etc/.*|/var/.*'

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 자동화된 설정 관리 도구(Ansible, Terraform 등)가 정기적으로 계정을 업데이트하는 경우.
• 튜닝 방법: Trusted_Admin_IPs 화이트리스트를 최신화하고, ITSM의 작업 승인 시간대와 로그 발생 시간을 교차 검증하여 필터링합니다.

KEV(Known Exploited Vulnerabilities) 등재 및 EPSS 수치를 근거로 'Immediate' 우선순위 대응이 필요합니다.

1. 즉시 (긴급 차단)

• 조치: HTTP Server 기능 즉시 비활성화 (no ip http server, no ip http secure-server) 또는 관리 UI 접근 ACL 적용.
• 난이도/영향: 낮음 / Web UI 사용 불가 (CLI로 대체 가능).
• 검증: 외부/내부망에서 80, 443 포트 접속 시 Timeout 또는 Reject 확인.

2. 단기 (완화)

• 조치: 관리 UI 접근을 특정 관리 VLAN으로 격리하고, MFA가 적용된 점프 호스트(Jump Host)를 통해서만 접근하도록 제한.
• 난이도/영향: 중간 / 네트워크 구성 변경 필요 및 운영 마찰 발생.
• 검증: 비인가 VLAN에서 Web UI 접속 시도 시 차단 여부 확인.

3. 근본 (해결)

• 조치: 영향받는 Cisco IOS XE 및 Rockwell Automation Stratix 펌웨어를 최신 수정 버전(예: IOS XE 17.9.4a 이상 등)으로 업그레이드.
• 난이도/영향: 높음 / 장비 재부팅에 따른 서비스 일시 중단(Downtime) 발생.
• 검증: show version 명령어로 패치 버전 확인 및 취약점 스캐너 재검증.

잔여 리스크: 패치 후에도 이미 설치된 임플란트가 남아있을 수 있습니다. 패치 전 생성된 의심스러운 로컬 계정을 전수 조사하고 파일 시스템 무결성을 검사하는 인시던트 대응 플레이북 실행이 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99571 · exploit=easy · in_scope=None