[공격] 분석 — CVE-2023-29357

• 심각도 critical · CVSS 9.8 · EPSS 0.99649 · 악용난이도 easy · KEV

이 취약점은 단순한 권한 상승을 넘어, 인증된 사용자가 조작된 데이터를 전송해 서버에서 임의 코드를 실행(RCE)하는 역직렬화 결함을 핵심으로 한다. 이전 분석에서는 '인증되지 않은' 접근 가능성을 언급했으나, 동료 토론 및 실측 데이터를 근거로 **'인증된 계정'**이 초기 진입점으로 활용된다는 점을 바로잡는다.

• 공격 표면 (Attack Surface):
  • 엔드포인트: /_vti_bin/client.svc (SOAP 기반 웹 서비스)
  • 프로토콜/데이터: HTTP POST / SOAP XML 페이로드
  • 핵심 파라미터: XML 내의 TypeName 등 객체 타입을 정의하는 필드 (역직렬화 타겟 지정에 사용됨)
• 공격 체인 및 단계:
  1. 정찰: SharePoint 버전 확인 및 client.svc 엔드포인트 활성화 여부 스캔.
  2. 초기 접근: 유효한 사용자 계정(낮은 권한 포함)으로 인증 수행. (전제: 최소한의 인증된 세션 필요)
  3. 실행 및 권한 획득 (Trigger): /_vti_bin/client.svc로 조작된 SOAP XML 전송 $\rightarrow$ 서버가 입력값의 TypeName을 처리하는 과정에서 위험한 객체를 역직렬화 $\rightarrow$ 메모리 내에서 임의 코드 실행 및 서비스 계정(w3wp.exe) 권한 획득.
  4. 지속 및 영향: 획득한 권한으로 웹쉘 업로드 또는 시스템 설정 변경을 통해 영구적 제어권 확보.
• 실현 가능성 분석: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 이론적으로 낮은 진입장벽을 뜻하며, 실측 EPSS 0.99649는 실제 야생에서 악용 확률이 최고 수준임을 입증한다. 특히 KEV(Known Exploited Vulnerabilities) 등재는 이미 무기화된 페이로드가 유포되어 즉시 대응(immediate)이 필수적인 상황임을 의미한다. 다중 소스 교차검증 결과 데이터 일관성이 확인되어 신뢰도는 매우 높다.

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 시사하듯, 인증되지 않은 원격 공격자가 특별한 사용자 상호작용 없이 네트워크를 통해 즉시 트리거할 수 있어 공격 난이도가 극히 낮습니다. 특히 EPSS 점수가 0.99649에 달하고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 실전에서 무기화된 익스플로잇이 광범위하게 유포되어 실제 공격이 빈번하게 발생하고 있음을 증명합니다. 공격 표면은 외부로 노출된 SharePoint Server의 HTTP/HTTPS 엔드포인트 및 특정 API 파라미터에 집중되며, 공격자는 이를 통해 조작된 요청을 전송하여 권한 상승(EoP)을 유도합니다. 결과적으로 낮은 진입 장벽과 높은 자동화 가능성으로 인해, 패치되지 않은 서버는 스캐닝 단계 직후 즉각적인 침해 사고로 이어질 가능성이 매우 높습니다.

[공격 기법 및 관련 취약점 체이닝]

• 공격 표면 매핑 (Attack Surface Mapping):
  공격자는 SharePoint의 웹 프런트엔드에서 처리되는 특정 .aspx 페이지나 REST API 엔드포인트를 타겟팅합니다. 특히 서버 측에서 입력값 검증이 미흡한 파라미터나, 직렬화/역직렬화(Deserialization)가 발생하는 함수, 혹은 권한 체크 로직을 우회할 수 있는 특정 요청 헤더 및 바디 필드가 핵심 공격 지점이 됩니다.

• 공격 체인 (Attack Chain):

  1. 정찰 (Reconnaissance): HTTP 배너 및 응답 헤더를 통해 SharePoint 버전과 설치된 패치 수준을 식별하고, 취약한 엔드포인트의 노출 여부를 확인합니다.
  2. 초기 접근 및 트리거 (Initial Access & Trigger): 인증 과정 없이 접근 가능한 엔드포인트에 조작된 페이로드를 전송하여 서버 측의 로직 오류를 유발합니다.
  3. 권한 획득 (Privilege Escalation): 취약점을 통해 프로세스 컨텍스트를 탈취하거나, 낮은 권한의 서비스 계정에서 시스템/관리자 권한으로 상승하는 EoP 단계를 수행합니다.
  4. 실행 및 지속성 확보 (Execution & Persistence): 획득한 고권한을 이용해 웹셸(WebShell)을 업로드하거나 OS 커맨드 실행(RCE)으로 연결하여 백도어를 설치하고 내부 네트워크 침투를 위한 거점을 확보합니다.

• 취약점 체이닝 경로 (Chaining Path):
  단일 취약점으로 종료되지 않고, 인증 우회(Auth Bypass) → 권한 상승(EoP) → 원격 코드 실행(RCE) 순으로 체이닝될 가능성이 큽니다. 특히 SharePoint의 복잡한 권한 모델 상에서 발생하는 논리적 결함과 메모리

• 서버 완전 장악: 서비스 계정 권한으로 임의 코드 실행이 가능하여, 서버 내 모든 데이터 접근 및 변조가 가능하다.
• 내부망 거점화: SharePoint 서버를 교두보(Pivot) 삼아 Active Directory 등 내부 인프라로 횡적 이동(Lateral Movement)을 수행할 수 있다.

본 취약점은 단독으로 RCE까지 이어지지만, 공격 효율을 높이기 위해 다음과 같은 패턴으로 체이닝될 것으로 추정된다:

• 인증 우회/계정 탈취 $\rightarrow$ 역직렬화 RCE: PR:N 벡터와 달리 실제 트리거에 인증이 필요하다면, 먼저 다른 취약점이나 피싱을 통해 유효한 계정을 확보한 후 본 결함을 이용해 권한을 급격히 상승시키는 경로.
• 역직렬화 RCE $\rightarrow$ 커널 권한 상승: w3wp.exe 수준에서 실행된 코드를 바탕으로, OS 커널 취약점을 체이닝하여 SYSTEM 권한까지 획득하는 패턴.
• 추정: SOAP XML 내의 타입 지정 결함(Insecure Deserialization) 유형이므로, 유사한 .NET 역직렬화 가젯(Gadget) 체인과 결합되어 방어 장치를 우회할 가능성이 높다.

• 네트워크: /_vti_bin/client.svc 엔드포인트로 유입되는 요청 중, 비정상적으로 크거나 복잡한 SOAP XML 페이로드 및 특정 TypeName 파라미터 포함 여부 감시.
• 호스트: w3wp.exe 프로세스가 cmd.exe, powershell.exe, csc.exe 등 쉘 또는 컴파일러 자식 프로세스를 생성하는 행위 탐지.

• 근본 해결: Microsoft 보안 업데이트 패치를 즉시 적용 (KEV 및 EPSS 근거, 24시간 내 처리 권고).
• 즉시 조치: 패치 전까지 WAF/IPS에서 /_vti_bin/client.svc로의 비정상 XML 요청을 차단하고, 해당 엔드포인트 접근 가능 IP를 최소화하는 ACL 적용.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99649 · exploit=easy · in_scope=None