[분석가] 분석 — CVE-2025-61984

• 심각도 low · CVSS 3.6 · EPSS 0.00284 · 악용난이도 hard

• 경로: 신뢰할 수 없는 소스(명령줄 인자 또는 설정 파일의 %-sequence 확장)를 통해 제어 문자(Control Characters)가 포함된 사용자 이름이 주입될 때 발생합니다.
• 원리: ProxyCommand 옵션이 활성화된 상태에서, 입력된 제어 문자가 쉘 명령어로 해석되어 의도하지 않은 명령어 실행으로 이어질 수 있습니다.
• 단계: [신뢰할 수 없는 소스로부터 사용자 이름 주입] $\rightarrow$ [%-sequence 확장 과정에서 제어 문자 처리] $\rightarrow$ [ProxyCommand 내 쉘 명령어 인젝션] $\rightarrow$ [코드 실행].

악용 가능성: 본 취약점은 AV:L/AC:H/PR:L/UI:N 벡터가 나타내듯, 공격자가 시스템에 이미 낮은 권한의 계정을 보유하고 있어야 하며(PR:L), 로컬 환경에서 특정 설정 조건이 충족되어야 하는 높은 난이도(AC:H)를 가집니다. 구체적인 공격 표면은 ssh 클라이언트의 사용자 이름(Username) 필드이며, 특히 %-sequence 확장 기능이나 명령줄 인수를 통해 제어 문자를 주입할 수 있는 지점이 트리거 조건이 됩니다. 다만, 실제 RCE로 이어지기 위해서는 대상 환경에 ProxyCommand 설정이 활성화되어 있어야 한다는 추가적인 전제조건이 필요합니다. EPSS 수치가 0.00284로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 복잡한 조건들을 모두 충족하여 악용한 사례가 거의 없음을 시사합니다. 결과적으로 이론적인 심각도는 높으나, 로컬 접근 권한과 특수한 설정 파일 구성이라는 제약 사항으로 인해 실제 악용 가능성은 매우 제한적입니다.

• 영향 제품 및 범위: OpenSSH 10.1 이전 버전. 단, ProxyCommand를 사용하며 사용자 이름이 외부 입력값에 의해 동적으로 결정되는 환경으로 제한됩니다. (완전한 리터럴 사용자 이름을 사용하는 설정 파일은 제외)
• 기술적 위험: 공격자가 대상 시스템에서 임의 코드를 실행(RCE)할 수 있는 잠재적 위험이 있습니다. 다만, CVSS 벡터(AV:L/AC:H/PR:L)에 따라 로컬 접근 권한과 높은 공격 복잡도가 요구됩니다.
• 비즈니스 리스크: 성공 시 시스템 권한 탈취 및 내부 데이터 유출 가능성이 있으나, 실측 악용 예측치인 EPSS가 0.00284(백분위 0.20667)로 매우 낮아 실제 발생 확률은 극히 희박합니다. 따라서 가용성이나 컴플라이언스에 즉각적인 치명적 영향을 줄 가능성은 낮다고 판단됩니다.

• 패턴: 입력값 검증 미흡으로 인한 'Command Injection' 패턴입니다.
• 체이닝: 로컬 권한을 이미 획득한 공격자가 더 높은 권한을 얻기 위한 권한 상승(Privilege Escalation) 수단으로 활용할 가능성이 추정됩니다.

• 로그 분석: SSH 설정 파일(ssh_config) 및 실행 인자에서 비정상적인 제어 문자나 쉘 메타문자가 포함된 사용자 이름 패턴을 모니터링합니다.
• 패턴 예시: ssh -o "ProxyCommand=..." [username] 형태의 명령줄에서 \r, \n 등의 제어 문자가 포함되었는지 확인하는 정규식 기반 탐지가 유효합니다.

• 근본 해결: OpenSSH 10.1 이상 버전으로 업데이트하여 제어 문자 처리 로직을 수정합니다.
• 즉시 조치:
  • 신뢰할 수 없는 소스(사용자 입력 등)가 SSH 설정의 %-sequence 확장에 직접 영향을 주지 않도록 제한합니다.
  • 불필요한 ProxyCommand 사용을 지양하고, 설정 파일 내 사용자 이름을 고정된 리터럴 값으로 관리합니다.

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인(신뢰도 1.0)하였으며, 실측 EPSS(0.00284)와 CVSS 점수(3.6), KEV 미등재 사실 및 공격 복잡도(Hard)를 규칙 기반으로 종합하여 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=3.6 · non-KEV · EPSS=0.00284 · exploit=hard · in_scope=None