[방어] 분석 — CVE-2026-32201

• 심각도 medium · CVSS 6.5 · EPSS 0.21476 · 악용난이도 easy · KEV

공격자는 인증 없이 네트워크를 통해 조작된 HTTP 요청을 전송하여 Host 헤더나 특정 파라미터의 입력값 검증 미비점을 이용합니다.

1. Trigger: 정상적인 도메인이 아닌 내부 IP, localhost 또는 위조된 호스트명을 Host 헤더에 삽입하여 서버가 요청의 목적지를 오인하게 유도합니다.
2. Path: SharePoint 내부의 신뢰 관계(Trust Relationship)를 악용하여, 외부에서 접근 불가능한 내부 API 엔드포인트로 요청을 전달하는 SSRF(Server-Side Request Forgery) 형태로 확장됩니다.
3. Goal: 최종적으로 내부 관리자 API 호출, 클라우드 메타데이터 서비스(IMDS)를 통한 자격 증명 탈취, 또는 세션 토큰 탈취를 시도하여 권한을 획득합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며(Easy), 즉각적인 악용 가능성이 극도로 높은 상태입니다. CVSS 벡터가 AV:N/AC:L/PR:N/UI:N인 점은 공격자가 네트워크를 통해 인증 없이, 특별한 사용자 상호작용이나 복잡한 설정 없이도 원격에서 트리거할 수 있음을 의미합니다. 특히 EPSS 수치가 0.21476로 높게 측정되고 KEV(Known Exploited Vulnerabilities)에 이미 등재되었다는 점은 이론적 위험을 넘어 실제 야생(In-the-wild)에서 공격 도구가 유포되고 활발히 악용되고 있음을 입증합니다. 주요 공격 표면은 외부로 노출된 Microsoft Office SharePoint의 HTTP/HTTPS 엔드포인트이며, 입력값 검증 미비(Improper input validation)를 이용해 특정 파라미터에 조작된 데이터를 전송함으로써 Spoofing을 유발하는 구조입니다. 결과적으로 공격자는 단순한 네트워크 패킷 송신만으로 타겟 서버의 신뢰 관계를 악용할 수 있어, 방어자 입장에서는 매우 치명적인 위협으로 간주해야 합니다.

• 내부망 횡적 이동(Lateral Movement): SharePoint 서버가 신뢰된 지점으로 활용되어 내부 API 및 인접 서비스로의 공격 경로가 확보됩니다.
• 자격 증명 탈취: 추정: IMDS 또는 내부 인증 서비스 접근 성공 시, 클라우드/인프라 관리 권한이 유출될 수 있습니다.
• 권한 없는 데이터 접근: 스푸핑을 통해 인증 체계를 우회하여 기밀 정보에 접근할 위험이 있습니다.

• SSRF 체이닝: 단순 요청 위조에서 그치지 않고, 내부 API(예: /_vti_bin/owssvr.dll) 호출로 이어지는 SSRF 공격 체인으로 확장될 가능성이 매우 높습니다.
• 권한 상승: 위조된 요청을 통해 획득한 세션이나 토큰을 이용하여 낮은 권한에서 관리자 권한으로 상승하는 시나리오가 예상됩니다.

본 취약점은 다중 소스 데이터 일관성이 확인되었으며, 특히 EPSS(0.21476) 수치와 KEV 등재 사실이 이론적 심각도(CVSS 6.5)보다 실제 악용 위험이 훨씬 높음을 시사하므로 즉시 탐지 체계를 가동해야 합니다.

1. 로그 지표 및 위치

• IIS/W3C Logs: cs-host 필드에서 비정상 도메인 확인, cs-uri-stem 및 cs-uri-query에서 내부 API 경로 확인.
• HTTP Headers: Host, X-Forwarded-Host 헤더와 실제 요청 목적지 IP의 불일치 여부.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1: 비정상 Host 헤더 유입 탐지
  • Condition: http.request.host NOT IN [Authorized_SharePoint_Domains] AND http.request.method == "GET/POST"
  • Description: 허용된 공식 도메인 외의 값이 Host 헤더에 포함되어 유입되는 모든 요청을 식별합니다.
• Rule 2: 내부 API 타격 및 스푸핑 체이닝 탐지
  • Pattern: uri_path MATCHES (\/_vti\_bin\/owssvr\.dll|\/_layouts\/15\/Authenticate\.aspx) AND (http.request.host MATCHES (localhost|127\.0\.0\.1|[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}))
  • Description: 내부 전용 API 경로 호출 시 Host 헤더가 내부 IP나 localhost로 위조되었는지 확인하여 SSRF 시도를 식별합니다.
• Rule 3: IMDS 접근 아웃바운드 탐지 (Cloud 환경)
  • Condition: destination.ip == 169.254.169.254 AND source.ip == SharePoint_Server_IP
  • Description: SharePoint 서버가 클라우드 메타데이터 서비스에 접근하는 비정상적인 아웃바운드 트래픽을 탐지하여 자격 증명 탈취 시도를 식별합니다.

3. 오탐 튜닝 및 방법

• 오탐 시나리오: L4/L7 로드밸런서나 리버스 프록시가 X-Forwarded-Host를 통해 정상적으로 헤더를 전달하는 경우 발생할 수 있습니다.
• 튜닝: 신뢰할 수 있는 프록시 서버 IP 리스트를 화이트리스트에 등록하고, 해당 경로를 통한 요청의 헤더 정규화 패턴을 정의하여 예외 처리합니다.

KEV 등재 및 exploit=easy 조건으로 인해 패치 전까지 'Immediate' 우선순위로 대응하며, 단순 차단을 넘어 내부 신뢰 경계 붕괴를 막는 데 집중합니다.

1. 즉시 (긴급 차단)

• 조치: WAF에서 Host 헤더 화이트리스트 검증 규칙을 적용하여 정의되지 않은 도메인이나 내부 IP/localhost가 포함된 요청을 즉시 Drop 합니다.
• 난이도/영향: 낮음 / 매우 낮음 (정상 서비스 영향 최소화).
• 검증: 위조된 Host 헤더를 담은 curl 요청 시 403 Forbidden 응답 확인.

2. 단기 (완화)

• 조치: 내부 API 엔드포인트(/_vti_bin/, /_layouts/)에 대한 ACL을 재검토하여 외부 접근을 원천 차단하고, 서비스 간 상호 인증(mTLS) 체계를 검토하여 신뢰 관계를 최소화합니다.
• 난이도/영향: 중간 / 중간 (내부 통신 단절 가능성 존재).
• 검증: 네트워크 덤프를 통해 내부 API 호출 시의 인증 토큰 흐름 및 상호 인증 여부를 확인합니다.

3. 근본 (해결)

• 조치: 영향받는 SharePoint 버전에 대해 최신 보안 업데이트를 적용합니다.
  • 2016: $\ge$ 16.0.5548.1003
  • 2019: $\ge$ 16.0.10417.20114
  • Subscription Edition: $\ge$ 16.0.19725.20210
• 난이도/영향: 중간 / 높음 (업데이트 적용 시 서비스 다운타임 발생).
• 검증: 패치 후 버전 정보 확인 및 알려진 PoC 패턴을 이용한 재현 테스트 수행.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=6.5 · KEV · EPSS=0.21476 · exploit=easy · in_scope=None