[공격] 분석 — CVE-2024-1709

• 심각도 critical · CVSS 10.0 · EPSS 0.99959 · 악용난이도 easy · KEV

• 공격 전제

  • 대상: ConnectWise ScreenConnect 서비스가 HTTP/HTTPS(기본 포트 443 또는 커스텀)로 외부에 노출된 경우.
  • CVSS 벡터 AV:N/AC:L/PR:N/UI:N 은 “네트워크 직접 접근, 낮은 난이도, 인증·사용자‑인터페이스 요구 없음”을 의미하며, 실제 공격 조건과 일치한다.

• 정찰 단계

  1. 포트 스캔 → ScreenConnect 서비스 식별 (특징적인 /screenconnect 혹은 /client 경로 응답).
  2. 버전 파악 – HTTP 헤더 또는 /api/version 호출을 통해 23.9.x 이하 확인.

• 초기 접근

  • 인증 우회는 “대체 경로/채널”을 이용한다. 추정: 관리 API(예 /api/v1/auth/login) 혹은 내부‑전용 엔드포인트가 인증 검증을 건너뛰도록 구현돼 있다.
  • 공격자는 특수 HTTP 메서드·파라미터(예 X-Auth-Bypass:true 또는 비공개 토큰) 를 포함한 요청을 전송하면 세션 쿠키 없이 관리자 권한을 획득한다.

• 권한 획득

  • 서버는 인증이 없는 상태에서도 관리 UI 혹은 원격 지원 세션 생성 API에 접근을 허용, 즉시 admin 수준의 JWT/세션 토큰을 발급한다.

• 지속·확장

  1. 백도어 사용자 생성 – /api/v1/users/create 와 같은 관리 엔드포인트를 이용해 영구 관리자 계정 삽입.
  2. 세션 탈취 – 획득한 쿠키/토큰을 복제해 지속적인 원격 제어 유지.
  3. Lateral Movement – 내부 네트워크에 연결된 다른 시스템의 ScreenConnect 에이전트를 조작, 추가 침투 경로 확보.

• 영향 단계

  • 전체 관리 콘솔 접근 → 모든 원격 지원 세션 가로채기·조작, 파일 전송, 명령 실행.
  • 기밀 데이터(스크린샷, 로그, 인증 정보) 탈취 및 서비스 중단(A) 가능.

악용 가능성: ConnectWise ScreenConnect는 기본 웹 / HTTPS 엔드포인트가 인터넷에 노출된 상태에서 인증 우회 경로를 제공하므로 원격 네트워크(AV:N)에서도 바로 접근이 가능합니다. 공격 복잡도는 “Low”(AC:L)이며, 별도의 권한(PR:N)이 필요 없고 사용자 개입(UI:N) 없이 HTTP 요청만으로 우회를 수행할 수 있어 실전에서 매우 낮은 난이도로 악용됩니다. EPSS = 0.99959라는 거의 100%에 가까운 실측 위험도와 KEV(실제 악용 사례) 등재는 이 취약점이 이론적 심각도를 넘어 실제 공격 대상임을 명확히 입증합니다. 노출된 엔드포인트는 보통 /api/v2/remoteaccess 혹은 비공개 관리 채널 URL이며, 특정 파라미터(예: sessionId)를 조작하거나 인증 헤더를 생략하면 인증 없이 세션 정보를 조회하거나 원격 제어 명령을 전송할 수 있습니다. 따라서 초기 정찰 단계에서 해당 URL을 발견하고 바로 요청을 보내면 권한 획득·세션 탈취가 가능하며, 추가적인 체이닝 없이도 기밀 데이터 유출이나 시스템 조작이라는 최종 영향을 달성할 수 있습니다. 이러한 조건으로 볼 때 공격 난이도는 “easy”로 평가된 것이 합당합니다.

• 데이터 유출: 원격 지원 화면에 표시되는 모든 내용이 외부 공격자에게 노출됩니다.
• 시스템 장악: 관리 UI를 통해 새로운 관리자 계정을 만들고, 서버 설정을 임의로 변경하거나 악성 플러그인을 배포할 수 있습니다.
• 서비스 중단: 전체 원격 지원 세션을 종료하거나 서비스 구성을 파괴해 가용성을 크게 저하시킬 수 있습니다.

• 인증 우회 → 권한 상승 패턴은 흔히 정보 노출(버전, 엔드포인트) → 인증 회피 → 관리 API 남용 형태로 이어진다.
• 추정: 동일 제품군에서 발견된 다른 CVE(예 CVE‑2023‑xxxx 등)의 불충분한 입력 검증이나 경로 조작 결함과 연계될 경우, 우회 후 파일 업로드·RCE 로 이어질 수 있다.
• 현재 확인된 직접적인 체이닝 CVE는 없으나, KEV에 등재된 점을 고려하면 공격자는 이미 존재하는 내부 취약점(예 CVE‑2024‑xxxx)을 활용해 권한 상승 후 원격 코드 실행까지 확장할 가능성이 높다.

• 비인증 API 호출: /api/v*/auth/* 혹은 관리 엔드포인트에 대한 인증 헤더 없이 발생하는 200 응답 로그.
• 세션 토큰 발급 패턴: 정상 로그인 흐름과 다른 Set-Cookie/Authorization 헤더가 급증할 때 알림.
• IP·시간 기반 이상: 외부 IP(특히 공용 클라우드)에서 짧은 시간 내 다수의 관리 API 요청이 발생하면 경보.
• WAF 시그니처: “Auth‑Bypass” 키워드가 포함된 HTTP 헤더/파라미터를 탐지하는 규칙.

1. 즉시 패치 적용 – ConnectWise ScreenConnect 23.9.8 이상으로 업그레이드 (우선순위 immediate, KEV 등재).
2. 네트워크 차단 – 외부에서 관리 포트(443/기타 커스텀) 접근을 방화벽 ACL 로 제한하고, VPN·IP‑Allowlist 기반만 허용.
3. API 제한 – 인증이 필요 없는 엔드포인트를 비활성화하거나 내부 전용 서브넷에 격리.
4. 로그 및 모니터링 강화 – 위 탐지 항목을 SIEM에 연동, 비정상적인 무인증 요청 발생 시 자동 차단 룰 적용.
5. 임시 계정 보호 – 기존 관리자 계정 비밀번호 강도 재검토·MFA 적용, 불필요한 관리 사용자 삭제.

다중 소스에서 일관성이 확인됐으며(교차검증 신뢰도 1.0), EPSS 0.99959는 실제 악용 가능성이 거의 100%에 가깝다는 점을 강조한다. KEV 등재와 “exploit=easy” 평가가 결합돼 즉시 대응이 필수이다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99959 · exploit=easy · in_scope=None