[분석가] 분석 — CVE-2020-11738

• 심각도 high · CVSS 7.5 · EPSS 0.97822 · 악용난이도 easy · KEV

공격자는 인증되지 않은 상태에서 duplicator_download 또는 duplicator_init 엔드포인트의 file 파라미터에 ../ (dot-dot-slash) 시퀀스를 주입하여 Directory Traversal을 유발합니다. 이를 통해 웹 루트 디렉토리를 벗어나 서버 내 임의의 민감 파일에 접근하고 내용을 읽어낼 수 있습니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특별한 사용자 상호작용 없이 즉시 트리거할 수 있어 공격 난이도가 매우 낮습니다. 공격 표면은 WordPress의 duplicator_download 및 duplicator_init 엔드포인트이며, 특히 file 파라미터에 ../와 같은 Directory Traversal 패턴을 주입함으로써 서버 내 임의 파일에 접근할 수 있는 구조입니다. 이론적 위험성을 넘어 EPSS 수치가 0.97822로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재된 점은, 이미 야생(In-the-wild)에서 자동화된 스캐너와 익스플로잇이 광범위하게 유통되고 있음을 입증합니다. 따라서 공격자는 단순한 HTTP 요청만으로 민감한 설정 파일이나 시스템 파일을 탈취할 수 있으며, 이는 실제 침해 사고로 이어질 가능성이 극히 높은 상태입니다. 결과적으로 낮은 진입 장벽과 검증된 악용 사례가 결합되어 실질적인 위협 수준이 매우 높다고 판단됩니다.

• 영향 제품 및 규모: awesomemotive duplicator < 1.3.28 및 Duplicator Pro < 3.8.7.1 버전이 대상입니다. WordPress 생태계 내 광범위하게 사용되는 플러그인 특성상 노출 규모가 클 것으로 추정됩니다.
• 기술적 위험: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 벡터에 따라, 공격자는 네트워크를 통해 권한 없이 시스템의 기밀 정보(Confidentiality)를 탈취할 수 있습니다. 특히 wp-config.php와 같은 설정 파일 유출 시 DB 접속 정보가 노출되어 2차 피해로 이어질 위험이 높습니다.
• 비즈니스 리스크: 민감 데이터 유출로 인한 개인정보 보호 규정 위반 및 기업 신뢰도 하락이 예상됩니다. 특히 KEV(Known Exploited Vulnerabilities) 등재 및 EPSS 0.97822(실측 기반 악용 예측 최고 수준) 수치는 이론적 위험을 넘어 실제 야생에서 공격이 빈번하게 발생하고 있음을 의미합니다.

Path Traversal을 통해 탈취한 설정 파일 내 DB 자격 증명이나 API 키를 이용하여 데이터베이스에 직접 접근하거나, 다른 관리자 권한 획득 취약점과 체이닝하여 시스템 전체 장악으로 이어질 가능성이 있습니다.

웹 서버 액세스 로그 및 WAF에서 다음과 같은 패턴을 모니터링합니다.

• 대상 엔드포인트: duplicator_download, duplicator_init
• 탐지 패턴: file 파라미터 내에 ../, /etc/passwd, wp-config.php 등의 문자열이 포함된 HTTP GET/POST 요청

• 즉시 조치: 다중 소스 교차검증을 통해 일관성이 확인되었으며, KEV 등재 및 EPSS 수치를 근거로 한 규칙 기반 우선순위 결정 결과 'immediate(24시간 내)' 대응이 필요합니다.
• 근본 해결: 영향받는 플러그인을 최신 버전(awesomemotive duplicator 1.3.28 이상, Duplicator Pro 3.8.7.1 이상)으로 즉시 업데이트하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.97822 · exploit=easy · in_scope=None