[분석가] 분석 — CVE-2024-54085

• 심각도 critical · CVSS 10.0 · EPSS 0.61063 · 악용난이도 easy · KEV

• 공격자는 네트워크를 통해 BMC의 Redfish Host Interface에 직접 접근하여 POST /redfish/v1/SessionService/Sessions 요청을 인증 없이 전송, 세션 생성 과정을 우회합니다.
• 동일 취약점이 IPMI 및 OEM CLI에도 존재하므로, 해당 인터페이스에서도 인증 없이 명령 실행이 가능하며, 세션 쿠키 재사용을 통한 지속적인 접근도 가능합니다.
• 성공 시 OS‑수준 권한을 가진 OOB 관리 프로세서를 장악하여 펌웨어 수정·삭제, 전원 제어, 네트워크 차단 등 전반적인 시스템 제어가 이루어집니다.

악용 가능성: CVSS 벡터에서 AV = Network, AC = Low, PR = None, UI = None으로 정의되므로 공격자는 네트워크를 통해 인증 없이 원격으로 접근하고 사용자 개입 없이도 악용이 가능합니다. EPSS 값 0.61063은 향후 12개월 내에 실제로 악용될 확률이 61 % 이상임을 나타내며, KEV 등재는 이미 야생 환경에서 이 취약점이 관측·악용되고 있음을 증명합니다. 공격 표면은 Redfish Host Interface가 기본적으로 HTTPS(포트 443)로 노출되는 BMC이며, /redfish/v1/Managers/...와 같은 엔드포인트에 인증 우회 요청을 전송하면 취약점이 트리거됩니다. 트리거 조건은 특수히 조작된 HTTP 헤더 또는 토큰 파라미터를 포함한 요청을 보내는 것으로, 별도의 권한 상승 단계가 필요 없습니다. 많은 조직에서 관리 VLAN이나 내부 네트워크에 BMC 접근을 허용하고 있기 때문에, 공격자는 해당 네트워크에 접속하기만 하면 바로 악용이 가능합니다. 따라서 이 취약점은 “easy” 등급에 부합하는 낮은 난이도와 높은 악용 가능성을 가지고 있어, 신속한 대응이 요구됩니다.

• 기술적 위험: 인증 우회를 통해 BMC 전체 권한 획득 → 펌웨어 변조·삭제, 서버 전원 사이클링, 네트워크 인터페이스 비활성화 등 가용성 파괴; 저장된 인증 정보·시크릿 탈취로 기밀성·무결성 침해; BMC를 발판으로 내부 OS에 악성 코드 배포 및 횡적 이동 가능.
• 비즈니스 리스크: 데이터센터·클라우드 인프라 핵심 관리 장치 손상 시 서비스 중단(SLA 위반)·복구 비용 급증; PCI‑DSS, HIPAA 등 규제에 따라 침해 보고 의무화 → 벌금·신뢰도 하락 위험.
• 영향 제품 및 노출 규모: AMI MegaRAC‑SPx 12.0 ≤ x < 12.7 및 13.0 ≤ x < 13.5 버전 전체가 대상이며, 전 세계 수천 대 이상의 서버에 기본 탑재되어 있음(구체적 배포량은 공개되지 않아 추정).
• CVSS 점수 10.0은 벡터 파싱 불일치가 발견돼 보수적으로 높은 값을 채택한 결과이며, EPSS 0.61063·KEV 등재에 따라 즉시 대응이 권고됩니다.

• 동일 BMC에서 보고된 IPMI 인증 우회(CWE‑287) 및 펌웨어 업데이트 무결성 검증 부족과 결합하면 원격 코드 실행까지 확장될 가능성이 있습니다(구체적 CVE 번호는 확인되지 않아 추정).

• Redfish, IPMI, OEM CLI에 대한 인증 없이 성공적인 세션 생성 로그(POST /redfish/v1/SessionService/Sessions 응답 200) 감시.
• BMC 펌웨어 버전 변경 이벤트가 비정상 시간대에 발생하거나 외부 IP(특히 인터넷 대역)에서 관리 포트(443, 623 등) 접근 시도 기록을 SIEM에 알림으로 전송.
• 세션 쿠키 재사용 또는 비정상 인증 토큰 사용 패턴을 탐지하는 규칙 적용.

• 즉시 조치: Redfish·IPMI·OEM CLI가 외부망에 노출되지 않도록 네트워크 격리·ACL 적용; 관리 VLAN으로 제한하고 TLS 강제 적용; 비정상 세션 시도 알림 설정.
• 근본 해결: AMI에서 제공하는 패치를 신속히 적용하고, 가능한 경우 MegaRAC‑SPx 12.7 이상 또는 13.5 이상 버전으로 업그레이드; 필요 없는 경우 Redfish 기능을 완전히 비활성화.
• EPSS 0.61063 및 KEV 등재에 기반해 우선순위는 규칙 기반 ‘immediate’(24시간 내) 로 결정되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.61063 · exploit=easy · in_scope=None