[단독분석] 분석 — CVE-2020-6287

• 심각도 critical · CVSS 10.0 · EPSS 0.94719 · 악용난이도 easy · KEV

• 원리: SAP NetWeaver AS JAVA의 LM Configuration Wizard 구성 요소에서 인증 확인 절차(Authentication Check)가 누락된 설계 결함입니다.
• 경로: 네트워크를 통해 인증 없이 해당 설정 위저드 엔드포인트에 접근합니다.
• 단계: Missing Authentication Check 취약점을 이용하여 권한 없이 설정 작업을 수행하며, 최종적으로 관리자 계정을 생성하여 시스템 제어권을 획득하는 단계로 이어집니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 나타내듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 요청을 보내는 것만으로 트리거되는 매우 낮은 난이도의 취약점입니다. 특히 SAP NetWeaver AS JAVA의 LM Configuration Wizard 엔드포인트에서 인증 확인 절차가 누락되어 있어, 공격 표면이 외부에 노출된 경우 별도의 사전 권한이나 사용자 상호작용 없이 즉각적인 악용이 가능합니다. EPSS 수치가 0.94719로 매우 높고 CISA KEV에 등재되었다는 점은 이론적 위험을 넘어 이미 실제 야생(In-the-wild)에서 공격 도구가 유포되고 활발히 악용되고 있음을 입증하는 강력한 근거입니다. 공격자는 해당 인터페이스를 통해 관리자 계정을 생성하는 등의 치명적인 구성 작업을 수행할 수 있으며, 이는 시스템의 기밀성, 무결성, 가용성을 완전히 상실시키는 결과로 이어집니다. 따라서 본 취약점은 공격 진입 장벽이 거의 없는 동시에 실질적인 악용 사례가 확인된 고위험 상태로 판단됩니다.

• 영향 제품 및 규모: SAP NetWeaver AS JAVA 버전 7.30, 7.31, 7.40, 7.50이 대상입니다. 다중 소스 데이터에서 일관성이 확인되었으며, 광범위한 버전에 걸쳐 영향이 미치는 공급망 특성을 보입니다.
• 기술적 위험:
  • 시스템 장악: 공격자가 관리자 권한의 사용자를 임의로 생성할 수 있어 시스템 전체에 대한 완전한 제어권(Full Control)을 획득합니다.
  • 데이터 유출 및 변조: Confidentiality, Integrity, Availability가 모두 심각하게 훼손되어 내부 기밀 데이터 탈취 및 설정 변경이 가능합니다.
• 비즈니스 리스크: 기업 핵심 자원 관리 시스템(ERP 등)의 기반이 되는 AS JAVA 계층이 무너짐에 따라 전사적 서비스 중단 및 민감한 비즈니스 데이터 유출로 인한 컴플라이언스 위반과 대외 신뢰도 하락 위험이 매우 높습니다.

• 유형: Auth (Missing Authentication) 유형의 취약점입니다.
• 체이닝 가능성: 획득한 관리자 권한을 통해 시스템 내부의 다른 설정 파일에 접근하거나, 네트워크 내 타 시스템으로의 횡적 이동(Lateral Movement)을 위한 교두보로 활용될 수 있습니다.

• 로그 분석: SAP Java 시스템 로그에서 비정상적인 LM Configuration Wizard 관련 요청이나, 관리자 계정이 예기치 않게 생성되는 이벤트를 모니터링합니다.
• 패턴 예시: 인증 헤더가 누락된 상태로 설정 위저드 관련 URL(추정: /sap/bc/... 등 설정 경로)에 접근하는 HTTP 요청 패턴을 탐지합니다.

• 우선순위 및 근거: Immediate (24시간 내 조치). CVSS 10.0의 이론적 심각도뿐만 아니라, KEV(Known Exploited Vulnerabilities) 등재로 실제 악용이 확인되었고, EPSS 수치가 0.94719로 실제 공격 발생 확률이 최고 수준임을 나타내기 때문입니다.
• 근본 해결: SAP에서 제공하는 최신 보안 패치를 즉시 적용하여 인증 체크 로직을 복구해야 합니다.
• 즉시 조치: 패치 적용 전까지 외부망에서 해당 설정 위저드 엔드포인트로의 접근을 네트워크 방화벽 또는 ACL을 통해 차단합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.94719 · exploit=easy · in_scope=None