[단독분석] 분석 — CVE-2024-38094

• 심각도 high · CVSS 7.2 · EPSS 0.48735 · 악용난이도 easy · KEV

• 취약점 유형: Deserialization (역직렬화)
• 공격 경로: 네트워크(AV:N)를 통해 접근 가능한 SharePoint 서버의 특정 엔드포인트로 조작된 직렬화 데이터를 전송하여 촉발됩니다.
• 권한 요구사항: 공격자는 높은 수준의 권한(PR:H)을 보유해야 합니다.
• 실행 단계: 취약한 역직렬화 프로세스를 통해 임의의 코드를 주입하고, 이를 서버 권한으로 실행하는 Remote Code Execution(RCE) 단계로 이어집니다.

악용 가능성: 본 취약점은 AV:N/AC:L 벡터에 따라 네트워크를 통한 원격 공격이 가능하며, 복잡한 설정 없이 낮은 난이도로 트리거될 수 있습니다. 다만 PR:H 조건으로 인해 공격자는 SharePoint 서버 내의 높은 권한을 가진 계정 정보를 사전에 확보해야 하는 전제조건이 존재합니다. 그럼에도 불구하고 KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-wild)에서 악용 사례가 확인되었으며, EPSS 수치가 0.48735로 매우 높아 이론적 심각도를 넘어 실질적인 공격 위협이 매우 높은 상태입니다. 공격 표면은 SharePoint의 원격 엔드포인트 및 내부 API 파라미터를 통해 노출되며, 권한을 가진 사용자가 조작된 요청을 전송함으로써 RCE(Remote Code Execution)를 유발합니다. 결과적으로 인증된 고권한 계정 탈취와 결합될 경우, 공격자는 서버 제어권을 완전히 획득할 수 있어 악용 가능성이 매우 구체적이고 치명적입니다.

• 영향 제품 및 규모:
  • SharePoint Enterprise Server 2016 (16.0.0 ≤ x < 16.0.5456.1000)
  • SharePoint Server 2019 (16.0.0 ≤ x < 16.0.10412.20001)
  • SharePoint Server Subscription Edition (16.0.0 ≤ x < 16.0.17328.20424)
• 기술적 위험: 공격 성공 시 시스템의 기밀성, 무결성, 가용성에 모두 치명적인 영향(C:H/I:H/A:H)을 미칩니다. 서버 내 임의 명령 실행을 통한 전체 시스템 장악, 내부 데이터 유출 및 변조가 가능하며, 이를 교두보 삼아 내부 네트워크로의 횡적 이동(Lateral Movement)이 가능합니다.
• 비즈니스 리스크: 기업 내 중요 문서와 협업 데이터가 저장되는 SharePoint 특성상, 기밀 정보 유출에 따른 컴플라이언스 위반 및 비즈니스 연속성 중단 위험이 매우 높습니다.

• 유형 연계: Deserialization 취약점의 전형적인 패턴으로, 권한 상승(Privilege Escalation) 취약점과 체이닝될 경우 PR:H 제약을 우회하여 공격 가능성이 확대될 수 있습니다.

• 분석 지표:
  • SharePoint 서버로 유입되는 HTTP 요청 중 비정상적으로 긴 직렬화 데이터 페이로드나 알려진 역직렬화 가젯(Gadget) 패턴을 포함한 트래픽 모니터링.
  • w3wp.exe 등 SharePoint 관련 프로세스에서 생성되는 비정상적인 자식 프로세스(예: cmd.exe, powershell.exe) 실행 로그 추적.

• 우선순위 결정: Immediate (24시간 내 조치). 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, KEV(Known Exploited Vulnerabilities) 등재 및 EPSS 0.48735(실제 악용 예측치가 매우 높음) 수치를 근거로 즉시 대응이 필요합니다.
• 근본 해결: 영향 범위에 해당하는 각 제품 버전별 최신 보안 업데이트를 적용하십시오.
• 즉시 조치: 패치 적용 전까지 SharePoint 서버에 대한 네트워크 접근 제어를 강화하고, 관리자 권한 계정의 활동 로그를 정밀 모니터링하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.2 · KEV · EPSS=0.48735 · exploit=easy · in_scope=None