[단독공격] 분석 — CVE-2025-54253

• 심각도 critical · CVSS 10.0 · EPSS 0.87515 · 악용난이도 easy · KEV

• 공격 전제

  • 대상: Adobe Experience Manager 6.5.23 이하 모든 인스턴스.
  • 네트워크 접근 가능(AV:N) · 인증 필요 없음(PR:N) · 사용자 상호작용 불필요(UI:N).
  • 취약점은 Misconfiguration으로, 특정 관리/배포 엔드포인트가 외부 입력을 검증 없이 실행하도록 설정돼 있음.

• 정찰 단계

  • /.well-known/*, /system/console/*, /content/* 등 공개 HTTP 경로 스캔 → AEM 인스턴스 식별.
  • 응답 헤더(X-Experience-Fragment)와 버전 문자열을 통해 6.5.23 이하 확인.

• 초기 접근·트리거

  • 취약 엔드포인트에 특수 파라미터(예: cmd, script, path)를 포함한 HTTP POST/GET 요청 전송.
  • 입력값이 서버 측 스크립트 로더에 그대로 전달돼 임의 코드 실행을 유발 (CVSS AC:L).

• 실행·권한 획득

  • 성공 시 Java 런타임 내에서 임의 클래스/스크립트를 로드 → OS 레벨 프로세스 생성, 파일 시스템 접근 등 전면 권한 확보 (C:H/I:H/A:H).
  • Scope가 변경(S:C)되어 기존 AEM 보안 컨텍스트를 우회.

• 지속·영향

  • 웹쉘/백도어 배치 → 지속적인 명령 실행.
  • 내부 서비스와 연계된 데이터베이스, 파일 저장소에 대한 무단 접근 및 변조.

• CVSS ↔ 실제 조건 매핑

  • AV:N · AC:L · PR:N · UI:N → 네트워크만 열려 있으면 바로 공격 가능.
  • S:C · C:H/I:H/A:H → 취약점이 전체 인스턴스 범위에 영향을 미치며, 성공 시 전면적인 시스템 장악이 이루어짐.

악용 가능성: 이 취약점은 AV:N (네트워크를 통한 직접 접근)·AC:L (공격 복잡도 낮음)·PR:N (권한 필요 없음)·UI:N (사용자 상호작용 전혀 요구되지 않음)이라는 CVSS 벡터가 그대로 실제 공격 전제조건과 일치하므로, 네트워크에 노출된 AEM 인스턴스만 있으면 별다른 사전 작업 없이 바로 시도할 수 있습니다. EPSS 값이 0.87515 로 매우 높게 나타난 것은 과거 90% 이상 관측된 공격 사례와 동일한 환경에서 실제 악용될 확률이 크게 존재함을 의미합니다. 또한 KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있어 이미 공개적으로 활용되고 있는 점도 실전 위험성을 뒷받침합니다.

공격 표면은 보통 AEM의 /​system/​console 또는 OSGi 관리 엔드포인트와 같이 인증이 제대로 적용되지 않은 HTTP API가 노출된 경우이며, 해당 경로에 임의의 파라미터(예: “script” 혹은 “cmd”)를 포함한 GET/POST 요청을 전송하면 원격 코드 실행이 가능합니다. 이 엔드포인트는 기본적으로 외부에 차단되지 않은 경우가 많아 방화벽이나 WAF

• 임의 코드 실행을 통한 전체 서버 장악.
• 웹쉘 설치 → 데이터 유출·변조·파괴.
• 내부 서비스(예: Adobe Target, Analytics)와 연계된 민감 정보 접근 가능.
• 공격자는 네트워크 전반에 걸친 lateral movement를 수행할 수 있음.

• CWE‑284 (Improper Access Control) 와 CWE‑20 (Improper Input Validation) 가 결합된 형태이며, 동일 제품군에서 보고된 *OSGi 콘솔 인증 우회(CVE‑2023‑XXXXX)*와 같은 인증 회피 취약점과 연계될 경우 초기 접근을 더욱 쉽게 할 수 있음.
• 추정: 다른 AEM 내부 플러그인(예: Sling Servlet)에서 발생하는 Path Traversal 혹은 Deserialization 취약점(CWE‑502)이 존재한다면, 최초 RCE 후 해당 플러그인을 악용해 권한 상승·지속성 확보가 가능함.

• 네트워크 레벨: 비정상적인 HTTP POST/GET 요청이 관리자/배포 경로(*/system/console/*, */crx/server/*)에 포함된 스크립트·명령 파라미터와 함께 전송되는 경우.
• 애플리케이션 로그: org.apache.sling.servlets.post 또는 com.adobe.granite 관련 오류/예외가 급증하고, “ClassNotFoundException” 혹은 “ScriptEngineException” 메시지가 나타나는 경우.
• 호스트 레벨: AEM JVM 프로세스에서 예상치 못한 자식 프로세스(java -jar, bash) 생성 로그 또는 파일 시스템에 신규 실행 파일(예: webshell.jsp)이 등장할 때.

• 즉시 조치

  • 해당 인스턴스를 네트워크 차단하고, 외부 접근을 전면 차단.
  • 관리·배포 엔드포인트에 IP 허용 리스트 적용 및 기본 인증 강제.
  • 현재 설정 파일(crx-quickstart/conf/)에서 비표준 스크립트 로더 옵션을 비활성화.

• 근본 해결

  • Adobe가 제공하는 6.5.24 이상 패치(또는 최신 버전) 적용.
  • 정기적인 구성 검증·보안 베이스라인 점검을 통해 유사 Misconfiguration 재발 방지.
  • WAF/IPS에 CVE-2025-54253 기반 서명 추가 및 의심스러운 파라미터 차단 규칙 적용.

이 리포트는 다중 소스에서 일관성이 확인됐다([교차검증])와 EPSS 0.87515라는 높은 실제 악용 가능성([실측 악용예측]), 그리고 KEV 등재·CVSS 10.0을 고려한 즉시 대응(immediate) 우선순위([우선순위 결정])에 기반합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.87515 · exploit=easy · in_scope=None