[방어] 분석 — CVE-2025-32975

• 심각도 critical · CVSS 10.0 · EPSS 0.02417 · 악용난이도 easy · KEV

• 경로: 외부에서 접근 가능한 Quest KACE SMA의 SSO 인증 핸들링 엔드포인트.
• 원리: SSO 인증 과정 중 신원 검증 로직의 결함으로 인해, 유효한 자격 증명 없이도 정당한 사용자로 위장하여 세션 토큰을 획득하는 Authentication Bypass 발생.
• 단계: SSO 요청 $\rightarrow$ 검증 누락 지점 공략(추정: SAML 응답 위조 또는 파라미터 조작) $\rightarrow$ 관리자 권한의 세션 토큰 발급 $\rightarrow$ SMA 전체 제어권 획득.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 나타내듯, 인증되지 않은 외부 공격자가 특수하게 조작된 요청을 통해 권한 없이 시스템에 접근할 수 있는 매우 낮은 진입 장벽을 가지고 있습니다. 특히 SSO 인증 처리 메커니즘의 결함으로 인해 유효한 자격 증명 없이도 관리자 권한을 탈취하는 Authentication Bypass가 가능하므로, 공격 난이도는 easy 수준으로 판단됩니다. 공격 표면은 네트워크에 노출된 SMA 어플라이언스의 SSO 관련 인증 엔드포인트 및 HTTP 파라미터이며, 별도의 사용자 상호작용이나 사전 권한 획득 없이 즉시 트리거될 수 있습니다. 이론적 위험도를 넘어 KEV에 등재되었다는 점은 이미 실제 환경에서 공격 도구가 배포되어 악용되고 있음을 입증하며, 이는 방어자에게 매우 시급한 위협입니다. 또한 EPSS 수치가 0.02417로 측정된 것은 해당 취약점이 현재 야생(In-the-wild)에서 활발히 탐색 및 이용될 확률이 통계적으로 유의미함을 의미합니다. 결과적으로 공격자는 단순한 네트워크 요청만으로 관리자 권한을 획득하여 시스템 전체를 장악할 수 있는 높은 악용 가능성을 보유하고 있습니다.

• 권한 탈취: 인증 없이 관리자 계정으로 로그인 가능하여 시스템 전권(Full Takeover) 장악.
• 데이터 유출 및 조작: SMA가 관리하는 엔드포인트의 설정 변경, 소프트웨어 배포 기능을 통한 악성코드 유포, 내부 자산 정보 유출.
• 공급망 위험: 영향받는 제품 버전이 5개나 되며 SSO라는 공통 메커니즘의 결함이므로 광범위한 환경에서 즉각적인 위협이 됨.

• 유형: Auth Bypass $\rightarrow$ Privilege Escalation 체이닝.
• 패턴: 인증 우회 후 관리자 권한을 획득했으므로, 이후 원격 코드 실행(RCE)이나 내부망 횡적 이동(Lateral Movement)의 교두보로 활용될 가능성이 매우 높음.

다중 소스에서 일관성이 확인된 신뢰도 1.0의 취약점이며, CVSS 10.0 및 KEV 등재, EPSS 0.02417(실제 악용 예측치)을 근거로 즉시 대응이 필요함. 단순 로그 감시는 사후 분석에 가깝기에 '진입 차단'과 '행위 탐지'를 병행해야 함.

1. SSO 토큰 발급 이상 징후 탐지 (SIEM 의사코드)

• 소스: SMA Access Log / Authentication Log
• 조건: event_id == "SSO_TOKEN_ISSUED" AND (src_ip NOT IN Known_Admin_IPs OR user_agent == "Unknown/Suspicious")
• 임계값: 단일 IP에서 짧은 시간 내 다수 계정으로 토큰 발급 시도 시 즉시 경보.

2. 권한 상승 후 Post-Exploitation 행위 탐지 (SIEM 의사코드)

• 소스: SMA Audit Log / System Log
• 조건: user_role == "Administrator" AND (action IN ["Create_User", "Change_Global_Setting", "Deploy_Software"]) AND (src_ip NOT IN Known_Admin_IPs)
• 설명: 인증 우회 후 실제 관리자 권한을 행사하는 시점을 포착.

3. 네트워크 레벨 패턴 탐지 (WAF/IDS 정규식)

• 대상: SSO 콜백 엔드포인트 요청 패킷
• 패턴(추정): (?i)(sso|saml).*(assertion|token).* 포함 요청 중 인증 헤더가 누락되었거나 비정상적인 파라미터 값이 포함된 경우.

오탐 튜닝:

• 관리자의 정당한 원격 접속 IP 리스트(Whitelist)를 최신화하여 필터링.
• SSO 연동 시스템의 정상적인 콜백 트래픽 패턴을 프로파일링하여 베이스라인 설정.

본 취약점은 CVSS 10.0의 Critical 등급이며 KEV에 등재되어 실제 악용 사례가 확인되었으므로, 탐지보다 '차단 후 패치' 순서로 대응함.

1. 즉시 (긴급 차단)

• 조치: SMA 관리자 페이지 및 SSO 엔드포인트에 대한 접근 제어 리스트(ACL) 적용. (신뢰할 수 있는 내부망 IP에서만 접근 가능하도록 제한)
• 난이도: 낮음 / 운영 영향: 높음 (원격 관리 불가) / 검증: 외부망에서 관리자 페이지 접속 시도 시 403 Forbidden 확인.

2. 단기 (완화)

• 조치: WAF/IPS에서 SSO 관련 비정상 요청 패턴 차단 및 토큰 발급 API에 대한 Rate-Limit 적용. 추정되는 위조 파라미터 패턴 차단 룰 적용.
• 난이도: 중간 / 운영 영향: 낮음 (정상 사용자 영향 최소화) / 검증: WAF 로그에서 차단 이벤트 발생 확인.

3. 근본 (해결)

• 조치: 제품 버전별 최신 패치 적용.
  • 13.0 $\rightarrow$ 13.0.385 이상
  • 13.1 $\rightarrow$ 13.1.81 이상
  • 13.2 $\rightarrow$ 13.2.183 이상
  • 14.0 $\rightarrow$ 14.0.341 (Patch 5) 이상
  • 14.1 $\rightarrow$ 14.1.101 (Patch 4) 이상
• 난이도: 중간 / 운영 영향: 중간 (서비스 재시작 필요) / 검증: 패치 후 버전 정보 확인 및 취약점 스캔 도구로 검증.

잔여 리스크: 패치 이후에도 이미 탈취된 세션 토큰이 유효할 수 있으므로, 모든 관리자 세션을 강제 종료(Session Flush)하고 비밀번호 변경을 권고함.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.02417 · exploit=easy · in_scope=None