[방어] 분석 — CVE-2025-10035

• 심각도 critical · CVSS 10.0 · EPSS 0.99614 · 악용난이도 easy · KEV

• 경로: License Servlet 엔드포인트가 진입점입니다.
• 원리: 공격자가 유효하게 위조된 라이선스 응답 서명(forged license response signature)을 전송하면, 서버가 이를 검증 없이 역직렬화(Deserialization)하는 과정에서 임의의 객체를 생성합니다.
• 단계: 위조된 서명 전송 $\rightarrow$ License Servlet의 취약한 역직렬화 수행 $\rightarrow$ 임의 객체 실행 $\rightarrow$ OS Command Injection을 통한 RCE.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 가리키듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 요청을 보내는 것만으로 트리거할 수 있어 공격 난이도가 매우 낮습니다. 공격 표면은 GoAnywhere MFT의 License Servlet 엔드포인트이며, 특히 라이선스 응답 서명을 위조하여 임의의 객체를 역직렬화(Deserialization)시키는 과정이 핵심 트리거 조건입니다. 이론적 위험을 넘어 EPSS 수치가 0.99614로 극도로 높고 KEV에 등재되었다는 점은, 이미 공격 자동화 도구가 배포되어 실제 환경에서 활발히 악용되고 있음을 증명합니다. 결과적으로 공격자는 복잡한 권한 획득 과정 없이도 License Servlet 파라미터를 통해 원격 코드 실행(RCE) 및 Command Injection으로 이어지는 치명적인 경로를 확보할 수 있습니다. 따라서 본 취약점은 단순한 이론적 결함이 아닌, 즉각적인 침해 사고로 이어질 가능성이 매우 높은 실질적 위협입니다.

• 권한 탈취: 인증되지 않은 외부 공격자가 원격에서 시스템 명령어를 실행할 수 있습니다.
• 데이터 유출: MFT(Managed File Transfer) 특성상 서버 내 저장된 민감 파일 및 전송 데이터에 대한 전체 접근 권한이 노출됩니다.
• 시스템 장악: CVSS 10.0 및 S:C(Scope Changed) 설정으로 보아, 애플리케이션 권한을 넘어 호스트 OS 전체로 영향력이 확대될 가능성이 매우 높습니다.

• 유형 연계: Java Deserialization 취약점의 전형적인 패턴이며, 이후 Gadget Chain을 이용해 RCE로 연결됩니다.
• 권한 상승: 초기 진입 후 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 커널 수준의 제어권을 획득할 수 있습니다.

다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특히 EPSS 0.99614라는 실측값은 이론적 위험도를 넘어 실제 악용 가능성이 최고 수준임을 시사합니다. KEV 등재 및 exploit=easy 조건에 따라 즉각적인 탐지 체계 가동이 필요합니다.

• 로그 지표:

  • 위치: HTTP Access Log, Application Server Log (License Servlet 관련 로그).
  • 필드: Request URI, HTTP Method, Authorization Header 또는 라이선스 관련 파라미터 값.
  • 패턴: 평소와 다른 길이의 Base64 인코딩 문자열, Java 직렬화 객체 식별자(ac ed 00 05 등)가 포함된 요청 본문/헤더.

• 탐지 규칙 예시 (SIEM 의사코드):

  1. 비정상 엔드포인트 접근 탐지:
     SELECT * FROM http_logs WHERE uri LIKE '%LicenseServlet%' AND method = 'POST' AND client_ip NOT IN (internal_mgmt_range)
  2. 역직렬화 페이로드 패턴 탐지 (Regex):
     추정: 라이선스 응답 데이터 내 Java 직렬화 매직 넘버 또는 알려진 Gadget Chain 패턴 검색.
     pattern = /(?:rO0ABX|ac\xed\x00\x05)/ $\rightarrow$ IF (request_body MATCHES pattern) THEN ALERT(Critical, "Potential Deserialization Attempt")
  3. RCE 후속 행위 탐지:
     SELECT * FROM process_logs WHERE parent_process = 'goanywhere' AND command IN ('whoami', 'id', 'curl', 'wget', '/bin/sh', '/bin/bash')

• 오탐 튜닝 및 주의사항:

  • 정상적인 라이선스 갱신 주기(Renewal cycle)에 발생하는 트래픽인지 확인하십시오.
  • 동료 분석가 DGX_A의 지적대로, 변조된 서명이 정상값으로 위장될 경우 단순 패턴 매칭으로는 회피 가능합니다. 따라서 '요청 빈도'와 '비정상적인 프로세스 생성(Child Process)'을 함께 모니터링하는 행위 기반 탐지가 필수적입니다.

우선순위 결정 논리에 따라 KEV 등재 및 CVSS 10.0인 점을 고려하여 immediate (24h 내) 대응이 요구됩니다.

• 즉시(긴급 차단): License Servlet 외부 접근 ACL 차단

  • 방법: WAF 또는 방화벽에서 /LicenseServlet (추정 경로)으로의 외부망(Internet) 접근을 즉시 Drop 처리하고, 신뢰할 수 있는 내부 관리 IP로만 제한합니다.
  • 난이도/영향: 낮음 / 매우 낮음 (라이선스 갱신 외에는 서비스 영향 없음).
  • 검증: 외부망에서 해당 엔드포인트 호출 시 403 Forbidden 또는 Timeout 확인.

• 단기(완화): 네트워크 세분화 및 EDR 모니터링 강화

  • 방법: MFT 서버를 격리된 VLAN으로 배치하고, 위 탐지 섹션에서 언급한 '비정상 프로세스 생성'에 대한 EDR 실시간 알림을 설정합니다.
  • 난이도/영향: 중간 / 낮음 (운영 가용성 유지).
  • 검증: EDR 룰 적용 후 테스트 페이로드(무해한 명령어) 실행 시 알람 발생 확인.

• 근본(해결): 최신 버전 업그레이드

  • 방법: Fortra GoAnywhere MFT를 패치 버전(7.6.3 이상 또는 7.8.5 이상 추정)으로 업데이트합니다.
  • 난이도/영향: 중간 / 중간 (서비스 일시 중단 및 롤백 플랜 필요).
  • 검증: 업데이트 후 버전 정보 확인 및 취약점 스캐너를 통한 재검증.

잔여 리스크: 패치 이후에도 이미 침투한 공격자가 설치했을 가능성이 있는 웹셸(WebShell)이나 백도어 계정이 존재할 수 있습니다. 패치 전후로 시스템 무결성 검사와 계정 리스트 전수 조사가 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99614 · exploit=easy · in_scope=None