[단독공격] 분석 — CVE-2021-22893

• 심각도 critical · CVSS 10.0 · EPSS 0.47172 · 악용난이도 easy · KEV

• 공격 표면: Pulse Connect Secure 9.0R3/9.1R1 이상에 포함된 Windows File Share Browser와 Pulse Secure Collaboration 기능의 HTTP 엔드포인트(예: /+CSCOE+/filebrowser, /+CSCOE+/collaboration)가 직접 노출됨.
• 정찰: Server 헤더와 버전 표시 페이지(/global-protect/portal/info)를 통해 대상 게이트웨이의 정확한 펌웨어 버전을 확인함. 이 단계는 네트워크 스캔만으로 충분히 수행 가능(AV:N, AC:L).
• 초기 접근: 인증 우회 트리거는 특수히 crafted된 GET/POST 파라미터(file, path, action)에 메모리‑오버플로우를 유발하는 바이너리 데이터를 삽입하면 된다. 프록시 없이 직접 요청을 보내면 UI 요구가 없으므로 PR:N, UI:N 조건 충족.
• 실행·권한 획득: 오버플로우가 발생하면 게이트웨이 프로세스의 루트 권한 메모리를 덮어쓰게 되며, 이는 즉시 Scope Change(S:C) 로 전환되어 관리자 수준 셸을 얻는다. 별도의 권한 상승 단계는 필요 없음.
• 지속: 공격자는 임의의 백도어 바이너리(예: 웹쉘, reverse‑shell 스크립트)를 파일 시스템에 기록하거나 iptables 규칙을 삽입해 영구화할 수 있다.
• 영향: 성공 시 전체 내부 네트워크 트래픽 가시·조작, 데이터 탈취 및 추가 침투가 가능함.

악용 가능성: 이 취약점은 네트워크에서 직접 접근 가능한 Pulse Connect Secure 게이트웨이의 관리 인터페이스(예: HTTPS /​+CSCOE+/file_share_browser, /pulse‑collaboration 등) 를 통해 인증 없이 특정 파라미터를 전송하면 바로 코드 실행이 이루어집니다. CVSS 벡터 AV:N·AC:L·PR:N·UI:N 은 “원격에서 네트워크만 열려 있으면(AV:N), 요청을 구성하는 것이 매우 간단하고(AC:L) 사전 권한이 필요 없으며(PR:N) 사용자 개입도 요구되지 않는다(UI:N)”는 실제 공격 전제조건과 일치합니다. EPSS 0.47172 라는 높은 실측값은 향후 12개월 내에 거의 반 정도의 확률로 악용될 가능성을 수치화한 것이며, KEV 목록에 등재된 점은 이미 현장에서 성공적으로 이용되고 있음을 의미합니다. 트리거 조건은 Windows File Share Browser 혹은 Pulse Secure Collaboration 기능이 활성화된 상태에서 특정 HTTP 요청(예: action=download&file=… )을 전송하는 것뿐이며, 별도의 인증 절차나 세션 쿠키가 필요하지 않습니다. 따라서 공격자는 사전 정찰 없이도 해당 엔드포인트를 찾아 바로 요청을 보내면 초기 접근과 원격 코드 실행이 동시에 달성됩니다. 이와 같은 단순한 프로토콜·파라미터 조작만으로 전체 게이트웨이에 대한 제어권을 획득할 수 있기 때문에 난이도는 “easy” 로 평가됩니다.

• 인증 없이 원격 코드 실행이 가능하므로 공격자는 게이트웨이 자체를 장악하고 내부 서비스에 대한 무제한 접근 권한을 획득한다.
• 스코프 변경으로 인해 관리자 수준 권한이 부여되어 네트워크 전반에 걸친 데이터 유출·변조·서비스 중단(DoS)까지 초래할 수 있다.

• CWE‑287 (Improper Authentication) 및 CWE‑20 (Improper Input Validation) 가 결합된 형태로, 인증 우회 후 메모리 손상을 이용한 RCE가 이루어진다.
• 추정: 이와 유사한 파일 공유 서비스 취약점(CWE‑119)이나 세션 고정(CWE‑384)을 먼저 악용해 내부 네트워크에 침투한 뒤, 본 인증 우회를 사용해 게이트웨이를 장악하는 체인이 가능하다.
• 추가적인 권한 상승이 필요할 경우, CWE‑787 (Out-of-bounds Write) 를 이용한 커널 모듈 취약점과 연계될 수 있다(추정).

• 웹 서버 로그에 비정상적인 GET /+CSCOE+/filebrowser?... 혹은 POST /+CSCOE+/collaboration 요청이 반복적으로 나타남.
• 인증 우회 시도는 정상 사용자 세션 쿠키 없이 200 응답과 함께 Error: Invalid authentication 문자열이 없고 바로 실행 결과가 반환되는 패턴을 보임.
• IDS/IPS에서 “Unauthorized file‑browser access” 또는 “Malformed collaboration request” 시그니처를 적용하면 탐지 가능.

1. 즉시 공식 패치를 적용하고, 현재 지원 중인 최신 펌웨어(예: 9.0R4 이상)로 업그레이드한다.
2. 위험한 기능인 Windows File Share Browser와 Pulse Secure Collaboration을 관리 콘솔에서 비활성화한다.
3. 관리 인터페이스에 대한 네트워크 차단(IP 허용 리스트 적용) 및 MFA 도입으로 인증 강화를 수행한다.
4. 로그 보관 기간을 연장하고, 위 탐지 지표를 SIEM에 연동해 실시간 알림을 설정한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.47172 · exploit=easy · in_scope=None