[단독분석] 분석 — CVE-2023-29357

• 심각도 critical · CVSS 9.8 · EPSS 0.99649 · 악용난이도 easy · KEV

인증 없이 네트워크를 통해 접근 가능한 SharePoint Server에 특수하게 조작된 HTTP 요청을 전송하면, 내부 메모리 손상 또는 권한 검증 우회를 유발해 실행 컨텍스트가 SYSTEM(또는 최고 관리자) 수준으로 상승합니다. 공격자는 별도의 사용자 개입 없이 자동화 스크립트만으로도 악용이 가능하며, AV:N/PR:N/UI:N·AC:L 특성을 갖는 “easy” 난이도로 평가됩니다.

악용 가능성: 이 취약점의 CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 네트워크를 통해 인증 없이 바로 접근 가능하며 공격 복잡도가 낮고 사용자 상호작용이 필요 없음을 의미합니다. 따라서 원격 공격자는 별도의

• 기술적 위험

  • SYSTEM 권한 획득 시 SharePoint 사이트 컬렉션, 데이터베이스, 파일 등에 대한 무제한 읽·쓰기·삭제가 가능해집니다.
  • 악성 스크립트·파일을 업로드하여 내부 네트워크로의 추가 침투 수단으로 활용될 위험이 있습니다.
  • 서비스 재시작·구성 변경 등으로 인한 가용성 저하가 발생할 수 있습니다.

• 비즈니스 리스크

  • 민감 문서·메타데이터 유출 시 개인정보보호법·ISO 27001 위반 위험이 추정됩니다.
  • 고객 신뢰도 하락 및 계약 위반에 따른 법적·재무 손실 가능성이 존재합니다.
  • 사고 대응·복구 비용이 급증할 수 있습니다.

• 노출 규모

  • 영향을 받는 제품은 Microsoft SharePoint Server 전체이며, 네트워크를 통해 접근 가능한 모든 인스턴스가 대상입니다.
  • 특히 인터넷에 노출된 서버인 경우 전 세계 사용자에게 위험이 확산될 가능성이 있습니다.

다중 소스에서 일관성이 확인된(교차검증) 점과 EPSS 0.99649라는 실측 악용 예측 수치는 이 취약점이 실제 공격으로 전환될 확률이 매우 높음을 의미합니다.

SharePoint 플랫폼에 존재하는 기존 권한 상승 또는 원격 코드 실행 취약점과 연계해 초기 권한 확보 후 내부 시스템으로 횡적 이동(lateral movement) 가능성이 추정됩니다. 현재 확인된 구체적인 CVE 번호는 보고되지 않았습니다.

• 웹 서버 로그에서 /_vti_bin/ 경로나 기타 SharePoint Web‑Service 엔드포인트에 대한 비정상적인 POST/GET 요청 급증 여부를 모니터링합니다.
• w3wp.exe 프로세스가 SYSTEM 권한으로 시작되거나, 서비스 계정으로 실행된 새로운 프로세스 생성 이벤트를 감시합니다.
• IDS/IPS에서 CVE-2023-29357와 연관된 서명(가능 시) 또는 의심스러운 HTTP 헤더·파라미터 구조를 탐지하도록 설정합니다.

• 즉시 조치: Microsoft가 제공한 보안 업데이트를 24시간 이내에 적용하고, 아직 패치되지 않은 SharePoint Server에 대한 외부 네트워크 접근을 차단합니다. (우선순위 = immediate)
• 근본 해결: 정기적인 패치 관리 프로세스를 강화하고, 서비스 계정 및 애플리케이션 풀 권한을 최소 권한 원칙에 따라 재검토합니다.
• 추가 방어: IDS/IPS 시그니처를 최신 상태로 유지하고, 이상 행위 기반 모니터링을 도입해 권한 상승 시도를 조기에 탐지합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99649 · exploit=easy · in_scope=None