[방어] 분석 — CVE-2025-37164

• 심각도 critical · CVSS 10.0 · EPSS 0.89733 · 악용난이도 easy · KEV

원격 공격자는 HPE OneView 관리 API에 조작된 JSON 페이로드를 전송한다.
취약한 파라미터(예: command, script 등)에 악의적인 코드가 삽입되어 서버 측에서 바로 실행되며, 인증·권한 검증 없이(RCE) 시스템 권한을 획득하고 추가적인 Lateral Movement 및 데이터 탈취로 이어진다.

악용 가능성: 이 취약점은 AV:N(네트워크를 통한 원격 접근)·AC:L(낮은 복잡도)·PR:N(특권 없음)·UI:N(사용자 상호작용 불필요)이라는 CVSS 벡터가 의미하듯, 공격자는 인증 없이 네트워크만 연결되면 바로 악성 요청을 전송할 수 있습니다. EPSS 값이 0.89733 으로 매우 높아 실제 환경에서 악용될 확률이 거의 90%에 육박함을 보여주며, KEV(Known Exploited Vulnerabilities) 데이터베이스에 등재된 점은 이미 공격자가 성공적으로 활용하고 있음을 의미합니다. 공격자는 HPE OneView가 제공하는 REST API 엔드포인트(예: /rest/*)에 접근해 취약한 파라미터를 조작함으로써 원격 코드 실행을 달성할 수 있습니다. 이 API는 기본적으로 HTTP/HTTPS 포트(443 또는 8443)에서 공개되어 있어 방화벽이나 인증 우회가 없으면 바로 노출됩니다. 따라서 공격 표면은 “네트워크‑노출된 OneView REST API + 인증 미적용”이라는 조합이며, 별도의 피싱·사회공학 단계 없이도 단일 HTTP 요청만으로 악성 코드를 실행할 수 있습니다. 결과적으로 이 취약점은 난이도가 낮고(‘easy’ 등급) 실제 악용 사례가 확인된 만큼, 방어자는 즉시 탐지 및 차단 로직을 적용해야 합니다.

• 전체 관리망에 대한 루트/시스템 권한 장악
• 하위 물리 서버·스토리지의 IPMI/iLO 등 원격 관리 인터페이스 제어 가능
• 민감 데이터 유출·서비스 중단·추가 악성코드 배포

• 동일 제품군에서 발견된 API 입력 검증 부재(CVE‑2024‑xxxx)와 연계될 경우, 공격자가 복수 엔드포인트를 순차적으로 장악할 수 있음.
• 내부 네트워크 Lateral Movement 단계에서 사용되는 SMB/SSH 취약점과 결합하면 전사적 침해가 확대된다.

로그 소스 및 핵심 필드

1. OneView API 로그 (/var/log/oneview/api.log) – timestamp, client_ip, http_method, uri, request_body
2. Web Application Firewall (WAF) 로그 – request_line, payload, rule_id
3. Network IDS/IPS – src_ip, dst_ip, protocol, payload_bytes

SIEM 쿼리 예시 (Elastic Kibana DSL 형태)

 1event.category:"web" AND 
 2http.request.method:"POST" AND 
 3http.request.uri:/\/rest\/v1\/(script|command)/ AND
 4(
 5  // JSON 내에 의심스러운 함수 호출 패턴
 6  request.body: /(?i)"(cmd|exec|bash|sh)"\s*:\s*".+"/ OR
 7  // 비정상적인 Base64 인코딩 길이 > 200 문자
 8  request.body: /"[^"]{200,}"/
 9) AND NOT client.ip:("10.0.0.0/8","192.168.0.0/16")

IDS/IPS 서명 (Snort 규칙 예시)

 1alert tcp $EXTERNAL_NET any -> $HOME_NET 443 (msg:"HPE OneView RCE attempt"; flow:established,to_server;
 2content:"POST"; http_method; content:"/rest/v1/script"; http_uri;
 3pcre:"/\"(cmd|exec|bash)\"\s*:\s*\"[^\"]+\"/i"; classtype:attempted-admin; sid:20253701;)

오탐 튜닝

• 정상적인 자동화 스크립트가 command 필드에 짧은 문자열을 전송하는 경우가 있다면, client.ip 화이트리스트와 request.body 길이 제한(>150)을 추가한다.
• WAF 로그에서 대량의 JSON 압축(Chunked Transfer Encoding)으로 인한 파싱 오류는 http.content_encoding:"chunked" 필터를 적용해 제외한다.

1. WAF 강화 – JSON 스키마 검증 규칙 적용, 허용된 필드와 데이터 타입만 통과하도록 설정한다.
2. IDS/IPS 서명 배포 – 위에서 제시한 Snort/SURICATA 규칙을 모든 경계 및 내부 IDS에 즉시 적용한다.
3. 로그 집중 – OneView API 로그를 중앙 SIEM으로 전송하고, 앞서 정의한 탐지 쿼리를 대시보드에 추가한다.
4. 관리망 분리 – OneView 서버를 별도 VLAN(예: Mgmt_VLAN)에 두고, 다른 업무 트래픽과 물리적으로 격리한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.89733 · exploit=easy · in_scope=None