[단독분석] 분석 — CVE-2023-28531

• 심각도 critical · CVSS 9.8 · EPSS 0.02267 · 악용난이도 moderate

• ssh-add 가 스마트카드 키를 per‑hop destination constraint 없이 ssh-agent 에 등록한다.
• 공격자는 대상 호스트에 SSH agent‑forwarding 이 활성화된 상태에서 악의적인 스마트카드(또는 조작된 키 파일)를 ssh-add 로 삽입하면, 해당 키가 모든 후속 hop 에서 자유롭게 사용될 수 있다.
• 결과적으로 원격 시스템을 넘어 횡적 이동 및 비인가 인증이 가능해진다.

악용 가능성: ssh‑add 취약점은 네트워크를 통해 원격에서 접근(AV:N)할 수 있으며 공격 복잡도가 낮아(AC:L) 별도의 사전 준비 없이도 수행 가능합니다. 또한 공격자는 특별한 권한(PR:N)이 필요 없고, 사용자의 추가적인 행동(UI:N)을 요구하지 않으므로 자동화된 악용이 이론적으로 가능함을 의미합니다. EPSS 0.02267이라는 수치는 향후 12개월 내에 실제로 악용될 확률이 약 2.3% 수준으로, ‘moderate’ 등급과는 별개로 실질적인 위협이 존재함을 뒷받침합니다. KEV 목록에 포함되지 않아 현재까지 대규모 공개 악용 사례가 보고된 바 없지만, 스마트카드 키를 사용하는 환경에서는 공격자가 해당 키를 ssh‑agent에 무제한으로 삽입할 수 있는 점이 위험 요소로 작용합니다. 노출되는 공격 표면은 OpenSSH 8.9‒9.2 버전을 실행 중이며 smartcard 기능을 활성화한 모든 호스트의 ssh-add 명령과, SSH 에이전트 포워딩이 허용된 세션입니다. 따라서 네트워크 경계 밖에서 접근 가능한 시스템이라면, 제한 없는 키 삽입을 통한 인증 우회가 가능하다는 점을 인지해야 합니다.

• 기술적 위험
  • 스마트카드 기반 인증키가 제한 없이 ssh-agent 에 저장되면, 공격자는 해당 키를 이용해 인증 우회, 시스템 장악, 서비스 중단(예: 악성 명령 실행) 등을 수행할 수 있다.
  • 영향을 받는 제품군: OpenSSH 8.9‑9.2 (OpenBSD), NetApp Brocade_Fabric_Operating_System, HCI_Bootstrap_OS, SolidFire_Element_OS. 다중 공급망에 걸쳐 존재하므로 광범위한 노출 가능성이 있다.
• 비즈니스 리스크
  • 인증 무결성 손상 → 규제·컴플라이언스 위반(PCI‑DSS, GDPR 등) 위험 증가.
  • 서비스 가용성 저하 및 데이터 유출 시 평판 손실.
  • EPSS = 0.02267 (첫 번째 실측값) 은 실제 악용 가능성이 moderate 수준임을 나타내며, CVSS 9.8 과 결합해 우선 대응 필요성을 강조한다([실측 악용예측] 참조).

• 동일한 ssh-agent 를 이용하는 다른 인증 우회 취약점(예: SSH agent‑forwarding 미설정 오류)과 연계될 수 있다.
• 현재 확인된 구체적인 CVE 번호는 없으며, 추정: 해당 환경에서 추가적인 권한 상승 모듈이 존재할 경우 체이닝 위험이 증가한다.

• ssh-add 실행 시 로그에 “Added smartcard key” 와 같은 메시지가 기록되는지 확인.
• ssh-agent 에 등록된 키 목록(ssh-add -L)에 예상치 못한 스마트카드 키가 존재하는 경우 경고.
• SSH daemon 로그에서 Accepted publickey 가 agent‑forwarded 로 표시되면서 비정상적인 IP/호스트 조합이 나타나는지 모니터링.

• 즉시: 모든 OpenSSH 인스턴스를 9.3 이상으로 업그레이드한다([우선순위 결정]에 따라 이번 주 내 적용 권고).
• NetApp 제품군은 공급업체에서 제공하는 최신 보안 패치를 적용한다.
• SSH agent‑forwarding 을 불필요한 경우 비활성화하고, ForwardAgent 옵션을 no 로 설정한다.
• 스마트카드 키 사용이 필요한 경우, 제한된 호스트에만 허용하도록 per‑hop 정책을 수동으로 적용한다.
• ssh-agent 활동을 지속적으로 로그 수집·분석하여 비정상적인 키 추가를 탐지한다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.02267 · exploit=moderate · in_scope=None