[분석가] 분석 — CVE-2024-38094

• 심각도 high · CVSS 7.2 · EPSS 0.48735 · 악용난이도 easy · KEV

• 취약점 원리: 신뢰할 수 없는 데이터를 처리하는 과정에서 발생하는 Deserialization 결함입니다.
• 공격 경로: 추정: 공격자가 조작된 직렬화 객체를 SharePoint API 엔드포인트로 전송하여 트리거합니다.
• 실행 단계: 악성 객체가 역직렬화되는 과정에서 시스템 설정 파일을 덮어쓰거나, 임의의 플러그인을 로드함으로써 최종적으로 원격 코드 실행(RCE)으로 이어지는 체인을 형성합니다.

악용 가능성: [공격 난이도 및 악용 가능성 분석]

본 취약점은 AV:N/AC:L 벡터에 따라 네트워크를 통해 원격에서 낮은 복잡도로 트리거가 가능하여 기술적 진입장벽이 매우 낮습니다. 다만, PR:H 조건으로 인해 공격자는 SharePoint 내 높은 권한을 가진 계정을 사전에 확보해야 하며, 이는 초기 침투 후 권한 상승 또는 내부자 위협 시나리오에서 치명적인 RCE로 이어지는 경로가 됩니다. 공격 표면은 SharePoint의 원격 엔드포인트와 서버 측 요청 처리 파라미터 및 프로토콜에 노출되어 있어, 인증된 공격자가 특수하게 조작된 요청을 전송함으로써 트리거됩니다. 이론적 권한 제약에도 불구하고 KEV(Known Exploited Vulnerabilities) 등재 사실은 이미 실제 환경에서 악용 사례가 확인되었음을 입증하며, EPSS 수치가 0.48735로 매우 높게 측정된 점은 공격 도구의 보급으로 인해 실질적 위협 수준이 극대화되었음을 의미합니다. 따라서 본 취약점은 권한 필요라는 제약보다 실제 악용 가능성과 실행 용이성이 압도적인 'Easy' 등급의 위험도를 가집니다.

• 영향 제품 및 범위:
  • Microsoft SharePoint Enterprise Server 2016 (16.0.0 $\le$ x < 16.0.5456.1000)
  • Microsoft SharePoint Server 2019 (16.0.0 $\le$ x < 16.0.10412.20001)
  • Microsoft SharePoint Server Subscription Edition (16.0.0 $\le$ x < 16.0.17328.20424)
• 기술적 위험: 성공적인 악용 시 공격자는 시스템 권한을 탈취하여 임의 명령을 실행할 수 있습니다. 이는 단순한 기능 오용을 넘어 서버 전체 장악, 내부 데이터 유출, 그리고 네트워크 내 횡적 이동(Lateral Movement)의 진입점으로 활용될 가능성이 매우 높습니다.
• 비즈니스 리스크: 기업 내부 문서 및 기밀 데이터가 저장된 SharePoint 서버의 특성상 대규모 데이터 유출 및 랜섬웨어 감염으로 인한 서비스 중단 위험이 큽니다. 이는 규제 준수(Compliance) 위반 및 기업 신뢰도 하락으로 직결됩니다.

• 유형 연계: Deserialization 취약점 특성상, 권한 상승(Privilege Escalation)이나 설정 파일 조작과 체이닝되어 공격 표면을 빠르게 확장하는 패턴을 보입니다.

• 네트워크 레벨: SharePoint API 엔드포인트로 유입되는 HTTP POST 요청 중 비정상적으로 크거나 특정 직렬화 패턴(예: Java/C# 직렬화 매직 바이트 등)이 포함된 페이로드 감시.
• 호스트 레벨: SharePoint 프로세스가 예상치 못한 자식 프로세스(cmd.exe, powershell.exe 등)를 생성하거나, 전역 설정 파일에 대한 비정상적인 쓰기 작업 발생 여부 모니터링.

• 즉시 조치:
  • 외부에서 SharePoint API 엔드포인트로의 직접 접근을 차단하는 네트워크 ACL 적용.
  • 취약한 엔드포인트에 대한 입력 값 검증 및 요청 필터링 강화.
• 근본 해결: Microsoft에서 제공하는 최신 보안 업데이트를 즉시 적용하여 취약한 버전에서 패치된 버전으로 업데이트하십시오.

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 기반의 EPSS(0.48735) 수치가 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 매우 높음을 나타내고 있습니다. 특히 KEV(Known Exploited Vulnerabilities) 등재 및 easy 수준의 악용 난이도를 근거로, 가용성 평가보다 침투 경로 차단과 패치가 시급한 immediate(24시간 내 대응) 우선순위로 결정되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.2 · KEV · EPSS=0.48735 · exploit=easy · in_scope=None