[방어] 분석 — CVE-2025-52691

• 심각도 critical · CVSS 10.0 · EPSS 0.85457 · 악용난이도 easy · KEV

• 인증이 필요 없는 HTTP POST 요청을 통해 파일 업로드 API에 접근
• 서버 측 검증 로직 결함으로 임의 경로(예: 웹 루트, 임시 디렉터리) 에 파일이 저장됨
• 업로드된 파일이 ASPX/ASPX .NET 페이지 혹은 .config 파일 등으로 실행될 경우 WAS 프로세스 컨텍스트에서 코드가 실행되어 원격 명령 수행(RCE)

악용 가능성: 1. 이 취약점은 네트워크를 통해 원격에서 접근 가능하고 인증이 필요 없으며 사용자 상호작용도 요구되지 않아 공격 난이도가 매우 낮습니다.
2. CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 별도의 권

• 공격자가 任意 파일을 서버의 임의 위치에 배치 → 웹 셸, 악성 구성 파일, DLL 등
• 해당 파일이 실행되면 SmarterMail 서비스 권한(보통 로컬 시스템) 으로 명령 실행 가능
• 메일 데이터 탈취·스팸 발송·내부 네트워크 이동 등 2차 침해 위험 급증

• .NET 기반 웹 애플리케이션에서 흔히 발견되는 파일 업로드 우회(Path Traversal, Null‑Byte Injection)와 결합될 수 있음
• 임시 디렉터리 내 파일을 이용한 DLL Hijacking 또는 config 파일 변조를 통해 권한 상승이 가능

• 로그 지표

  • SmarterMail Access 로그: request_path에 /upload/ 혹은 비정상적인 파일명(예: *.aspx, *.config) 이 포함된 POST 요청
  • IIS 또는 웹 서버 액세스 로그: cs-method=POST, sc-status=200 (성공) 과 cs-uri-stem에 업로드 API 경로가 기록됨
  • Windows Event Log (Security): 파일 생성 이벤트(FileCreate) 가 웹 루트 디렉터리(예: C:\SmarterMail\wwwroot) 에 비정상적인 확장자 파일이 나타날 때

• SIEM 탐지 규칙 예시

  1. UploadEndpointRule – Source = WebServer, Event = HTTPAccess, Condition: cs-method="POST" AND (cs-uri-stem MATCHES /upload|/filehandler) AND (cs-uri-query CONTAINS ".aspx" OR ".config") → Alert severity = high.
  2. SuspiciousFileCreate – Source = WindowsSecurity, Event = FileCreate, Condition: ObjectName LIKE "C:\SmarterMail\wwwroot\%\.aspx" OR ObjectName LIKE "%\.config" AND CreatorProcessName="w3wp.exe" → Alert severity = critical.
  3. ResponseCodeAnomaly – Source = WebServer, Event = HTTPAccess, Condition: cs-method="POST" AND sc-status=200 AND NOT (cs-uri-stem IN whitelist_of_known_upload_endpoints) → Alert severity = medium.

• 오탐 튜닝

  • 정상적인 관리용 파일 배포(예: 자동 업데이트 스크립트)가 동일 경로에 기록될 경우 CreatorProcessName이 smartermail.exe 혹은 배포 전용 서비스인 경우를 화이트리스트에 추가.
  • 내부 테스트 환경에서 대량 파일 업로드가 발생한다면 해당 IP/서브넷을 일시적으로 제외하고, 이후 정상 트래픽 패턴이 재확인될 때 다시 적용.

• 즉시(긴급 차단)

  • 웹 서버 레벨에서 취약한 파일 업로드 엔드포인트(*/upload* 혹은 */filehandler*)에 대한 인바운드 HTTP POST를 차단하는 ACL 또는 리버스 프록시 규칙을 적용한다. 구현 난이도 = 낮음, 운영 영향 = 해당 기능 사용 중인 내부 프로세스가 즉시 중단될 수 있음, 검증 방법 = 차단 후 해당 URL에 405/403 응답 확인.

• 단기(완화)

  • SmarterMail 설정에서 파일 업로드 허용을 비활성화하거나, 허용 확장자를 .jpg,.png 등 안전한 유형만으로 제한한다. 구현 난이도 = 중간, 운영 영향 = 정상 사용자 파일 첨부 기능 일시 중단 가능, 검증 방법 = 설정 변경 후 업로드 시 415 Unsupported Media Type 응답 확인.
  • 웹 서버( IIS )에 요청 본문 크기 제한(maxAllowedContentLength)을 낮게 설정하고, RequestFiltering에서 fileExtensions 블록 리스트에 .aspx, .config, .dll 등을 추가한다. 구현 난이도 = 중간, 운영 영향 = 대용량 정규 파일 전송 차단 가능, 검증 방법 = 큰 파일 업로드 시 404/413 응답 확인.

• 근본(해결)

  • SmarterMail 공식 패치 (버전 Build 9407 이상) 적용 후 서비스 재시작한다. 구현 난이도 = 높음(패키지 배포·테스트 필요), 운영 영향 = 업그레이드 윈도우 동안 일시적 다운타임, 검증 방법 = 버전 확인(smartermail -v) 및 CVE-2025-52691가 존재하지 않음 확인.
  • 패치 적용 후에도 파일 업로드 로직을 재검토하고, 서버 측에서 **파일 경로 정규화(Path Normalization)**와 **디렉터리 접근 제한(ACL)**을 강제한다. 구현 난이도 = 높음(코드 레벨 수정 필요), 운영 영향 = 없음(배포 후 정상 동작 확인), 검증 방법 = 보안 테스트 툴로 업로드 우회 시도 실패 확인.

잔여 리스크: 패치 전까지 차단 규칙이 적용되지 않은 내부 네트워크에서의 직접 접근 가능성, 또는 다른 미공개 파일 처리 버그가 존재할 경우 여전히 RCE 위험이 남는다. 따라서 위 조치를 시행한 뒤에도 정기적인 로그 모니터링과 파일 무결성 검사를 병행해야 한다.

인시던트 대응 플레이북 요약

1. 알림 발생 → 해당 IP·URI 기록 확인
2. 웹 서버/SmarterMail 서비스 상태 점검, 의심 파일 존재 여부(dir /s *.aspx 등)
3. 발견된 파일이 있으면 즉시 격리(파일 이동·삭제) 및 프로세스 재시작
4. 포렌식 수집(HTTP 트래픽 캡처, 이벤트 로그) 후 분석
5. 차단 규칙 적용 여부 재검증 → 필요 시 추가 IP/경로 차단

위 내용은 다중 소스 교차 검증이 일관되게 확인된 정보이며, EPSS 0.85457이라는 높은 실제 악용 가능성 수치와 KEV 등재·CVSS 10.0 점수를 고려해 즉시 대응을 최우선으로 판단한 결과입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.85457 · exploit=easy · in_scope=None