[분석가] 분석 — CVE-2025-54253

• 심각도 critical · CVSS 10.0 · EPSS 0.87515 · 악용난이도 easy · KEV

• 인증이 필요 없는 원격 요청(AV:N)으로 AEM 서블릿에 특수 파라미터를 전달하면 보안 메커니즘을 우회하고 임의 코드를 실행합니다(AC:L, PR:N).
• 탐지되지 않은 상태에서 바로 JVM 내부에 코드가 삽입되며, UI 또는 사용자 상호작용이 필요 없습니다(UI:N).
• 추정: 공격자는 URL 인코딩·더블 인코딩 등을 이용해 차단 우회를 시도할 수 있으며, 클래스패스에 존재하는 Java gadget이 있으면 역직렬화 기반 페이로드가 활용될 가능성이 있습니다.

악용 가능성: 이 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 갖고 있어 네트워크를 통해 직접 접근할 수 있는 서버라면 인증·권한·사용자 상호작용 없이 즉시 악용이 가능합니다. 실제 공격자는 AEM 6.5.x 인스턴스가 HTTP(S) 엔드포인트(예: /libs/granite/core/content/login.jsp)에 대해 잘못된 디렉터리‑리스트 설정이나 파일 업로드 파라미터를 노출하고 있을 때, 해당 파라미터에 임의의 스크립트를 삽입해 코드 실행을 트리거합니다. EPSS 값이 0.87515 로 매우 높으며, KEV(Known Exploited Vulnerabilities) 목록에 등재된 점은 이미 실제 악용 사례가 보고되었고, 이론적 심각도와 무관하게 실전 위협임을 강력히 뒷받침합니다. 공격 표면은 AEM이 제공하는 REST‑API 및 관리 콘솔(예: /admin, /crx/de)에 공개된 파일 업로드·경로 탐색 파라미터이며, 내부망 혹은 인터넷에 노출된 경우 모두 동일하게 이용될 수 있습니다. 따라서 공격자는 별도의 피싱이나 권한 상승 단계 없이 바로 원격 코드 실행을 달성할 수 있어 난이도는 “easy” 수준으로 평가됩니다. 이러한 조건이 충족되는 환경에서는 즉시 위험도가 높으며, 취약점이 존재하는 모든 AEM 인스턴스를 우선적으로 점검해야 합니다.

• 기술적 위험
  • 임의 코드 실행으로 AEM 인스턴스를 완전 장악하고, 추가적인 악성 서블릿 배포·시스템 파일 수정·네트워크 스니핑 등 전면적인 침해가 가능합니다.
  • Scope = Changed이므로 공격자는 기존 보안 경계(예: WAF) 밖에서도 권한 상승 및 횡적 이동을 수행할 수 있습니다.
• 비즈니스 위험
  • 가용성 저하·서비스 중단: AEM은 웹 콘텐츠 관리와 디지털 마케팅의 핵심 인프라이므로 서비스 정지 시 매출 손실과 고객 신뢰도 하락이 발생합니다.
  • 규제·컴플라이언스 위반: 개인정보 및 기업 데이터가 저장된 경우, 무단 접근·유출은 GDPR·PIPA 등 법적 제재 위험을 초래합니다.
• 노출 규모
  • 영향을 받는 제품은 “Adobe Experience Manager 0 ≤ x ≤ 6.5.23” 전체이며, 해당 버전을 운영 중인 모든 조직이 대상입니다(다중 소스에서 일관성이 확인됐다).

• 이 CVE와 유사하게 AEM 서블릿 경로를 통한 원격 코드 실행을 허용하는 이전 CVE‑2024‑xxxxx(예시)와 연계될 수 있습니다.
• 추정: 역직렬화(gadget chain) 기반 취약점(CWE‑502)과 결합하면 공격자는 보다 복잡한 페이로드를 전송해 장기적인 백도어를 심을 가능성이 있습니다.

• 네트워크: 비정상적인 HTTP POST/GET 요청이 /libs/granite/core/content/login 등 기본 서블릿 경로에 포함된 특수 문자열(예: ?cmd=)과 함께 발생하는 경우.
• 애플리케이션 로그: “ClassNotFoundException”, “Failed to load class” 혹은 “Executed script”와 같은 오류가 급증하면 의심됩니다.
• JVM 메트릭: 비정상적인 클래스 로딩·GC 활동이 짧은 시간 내에 급증하는 경우.

1. 즉시 조치
   • 해당 AEM 인스턴스로의 외부 접근을 차단하고, 방화벽/IPS에서 의심되는 서블릿 경로와 파라미터를 제한합니다(우선순위 즉시 대응 – CVSS 10.0·KEV·EPSS 0.87515).
   • 기본 관리자 계정 및 익명 접근 권한을 비활성화하고, 모든 요청에 인증이 요구되도록 설정합니다.
2. 근본 해결
   • Adobe에서 제공하는 최신 패치(6.5.24 이상)로 업그레이드합니다.
   • 서블릿 매핑 및 URL‑인코딩 검증 로직을 전수 조사하여, 불필요한 경로나 파라미터가 노출되지 않도록 Harden 합니다.
3. 추가 방어
   • 로그 분석·SIEM에 위 탐지 지표를 룰로 추가하고, 클래스패스 내 위험 gadget 존재 여부를 정기적으로 스캔합니다( DGX_2 의견 반영).
   • 내부망 배치 환경 및 데이터 민감도에 따라 비즈니스 연속성 계획을 재검토하고, 패치 적용 전후 서비스 가용성을 모니터링합니다(DGX_3 의견 반영).

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.87515 · exploit=easy · in_scope=None