[단독분석] 분석 — CVE-2020-1147

• 심각도 high · CVSS 7.8 · EPSS 0.93966 · 악용난이도 easy · KEV

• 악성 XML 파일을 입력으로 제공하면, 해당 제품이 소스 마크업 검증을 수행하지 않아 임의 코드를 실행합니다.
• 공격 경로: AV:L / AC:L / PR:N / UI:R 로, 로컬 사용자 상호작용만 있으면 권한 없이 코드가 실행됩니다.
• 주요 타깃은 .NET Framework/ .NET Core 라이브러리를 사용하는 애플리케이션이며, SharePoint Server와 Visual Studio도 동일하게 영향을 받습니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:N/UI:R 로 평가되어 “easy” 등급을 받았으며, 실제 공격 조건으로는 로컬에서 XML 파일을 제공할 수 있는 권한만 있으면 복잡한 사전 준비 없이도 악용이 가능함을 의미합니다. AV:L 은 공격자가 대상 시스템에 직접 접근해야 함을, PR:N 은 해당 접근 후 별도의 인증이 필요 없음을, UI:R 은 피해 사용자가 악성 XML 파일을 열거나 업로드하는 행위가 트리거가 됨을 나타냅니다. AC:L 은 특수한 권한이나 고급 기술 없이도 간단히 조작된 XML 마크업을 전송하면 된다는 낮은 복잡성을 의미합니다. EPSS 값 0.93966 과 KEV 등재 사실은 이론적 심각도와 무관하게 실제 악용이 활발히 관측되고 있음을 강력히 뒷받침합니다. 공격 표면은 .NET Framework, SharePoint Server 및 Visual Studio 가 XML 입력을 검증하지 않는 모든 엔드포인트—예를 들어 SharePoint REST API, 웹 서비스의 POST /xml 경로, Visual Studio 프로젝트 로딩 기능 등—이며, 해당 파라미터에 조작된 XML 마크업을 삽입하면 임의 코드가 실행됩니다. 트리거 조건은 “특수하게 구성된 XML 파일”을 제공하거나 사용자가 열도록 유도하는 것이며, 이는 서비스

• 기술적 위험

  • 임의 코드 실행 → 시스템 전체 장악, 관리자 권한 획득 가능.
  • 악성 프로세스가 네트워크·파일 시스템에 자유롭게 접근해 데이터 유출 및 추가 악성코드 설치가 가능합니다.
  • .NET 기반 서비스가 다수 존재하므로 동일 취약점이 여러 애플리케이션에 연쇄적으로 영향을 미칠 수 있습니다.

• 비즈니스 리스크

  • 서비스 가용성 중단(서비스 거부) 및 운영 차질.
  • 민감 데이터(개인정보·기업 기밀) 유출 시 규제·컴플라이언스 위반 위험.
  • 신뢰 손상으로 인한 고객·파트너 관계 악화.

• 영향 제품·노출 규모

  • microsoft .net_core, microsoft .net_framework, microsoft windows_server_2008, microsoft windows_8.1, microsoft windows_server_2012 등 총 8개의 제품군에 적용됩니다.
  • 다중 소스 교차검증 결과(‘다중 소스에서 일관성이 확인됐다’)에 따라 영향 범위가 광범위함을 재확인했습니다.

• 추정: XML 파서 관련 CWE‑611(Improper Restriction of XML External Entity Reference)와 유사한 취약점이 존재할 경우, 초기 RCE 후 권한 상승 혹은 크리덴셜 덤프 단계와 체인될 수 있습니다.
• 동일 .NET 런타임에서 발생하는 직렬화·역직렬화(CWE‑502) 결함과 조합하면 악성 페이로드 영속화가 가능할 것으로 추정됩니다.

• 프로세스 모니터링: Sysmon Event ID 1/5 에서 dotnet.exe 또는 devenv.exe 가 비정상적인 XML 파일을 인자로 실행하는 경우.
• 응용 프로그램 로그: .NET Framework/XML 파싱 오류 로그에 “Invalid markup” 혹은 “Failed to validate source markup” 와 같은 메시지가 반복적으로 기록되는지 확인합니다.
• 네트워크 트래픽: 로컬 시스템에서 외부로 향하는 비정상적인 HTTP/HTTPS 요청이 발생하면 탐지 규칙과 매핑합니다.

• 즉시 조치: Microsoft가 제공한 보안 업데이트(해당 CVE-2020-1147 패치)를 24 시간 이내에 적용합니다.
  • 우선순위 결정 논리(‘CVSS 7.8·KEV·EPSS 0.93966·exploit=easy’)에 따라 즉시 대응이 권고됩니다.
• 보호 강화:
  • 신뢰되지 않은 XML 파일의 실행을 차단하도록 AppLocker 또는 Windows Defender Application Control 정책 적용.
    .NET Framework/​Core 버전을 최신 지원 릴리즈로 업그레이드하고, 불필요한 SharePoint·Visual Studio 컴포넌트를 비활성화합니다.
• 모니터링: 위 탐지 항목을 SIEM에 연동해 실시간 알림을 설정하고, 의심스러운 프로세스 생성 시 격리 절차를 실행합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.8 · KEV · EPSS=0.93966 · exploit=easy · in_scope=None