[방어] 분석 — CVE-2023-40044

• 심각도 critical · CVSS 10.0 · EPSS 0.9015 · 악용난이도 easy · KEV

본 취약점은 Ad Hoc Transfer 모듈에서 입력값 검증 없이 .NET Deserialization을 수행하는 지점에서 발생합니다. 인증되지 않은 외부 공격자가 특수하게 조작된 직렬화 객체(Serialized Object)를 전송하면, 서버가 이를 역직렬화하는 과정에서 임의의 클래스를 인스턴스화하고 메서드를 호출하여 OS 레벨의 원격 코드 실행(RCE)으로 이어집니다. 추정: BinaryFormatter와 같이 타입 정보를 포함하는 직렬화 라이브러리가 사용되었을 가능성이 높습니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 실제 악용 가능성은 극도로 높은 상태입니다. CVSS 벡터상 AV:N/AC:L/PR:N/UI:N으로 정의된 것처럼, 공격자는 특수 권한이나 사용자 상호작용 없이 네트워크를 통해 원격에서 즉시 공격을 수행할 수 있습니다. 특히 Ad Hoc Transfer 모듈의 엔드포인트가 외부로 노출되어 있다면, 인증 전 단계(Pre-authenticated)에서 .NET Deserialization 취약점을 트리거하여 OS 명령어를 실행하는 RCE가 가능합니다. 이론적 위험성을 넘어 EPSS 점수가 0.9015에 달하고 KEV(Known Exploited Vulnerabilities) 목록에 등재되었다는 점은, 이미 공격 도구가 대중화되어 실제 야생(In-the-wild)에서 활발히 악용되고 있음을 입증합니다. 결과적으로 공격 표면이 외부에 노출된 WS_FTP Server 환경이라면, 공격자는 복잡한 전제 조건 없이 단순한 페이로드 송신만으로 시스템 제어권을 획득할 수 있는 매우 위험한 상황입니다.

• 권한: 사전 인증(Pre-authenticated) 상태에서 공격이 가능하므로 진입 장벽이 매우 낮음.
• 영향 범위: WS_FTP Server가 구동 중인 운영체제 권한으로 임의 명령 실행 가능.
• 결과: 서버 내 민감 데이터 유출, 횡적 이동(Lateral Movement)을 위한 거점 확보, 랜섬웨어 배포 등 시스템 전체 제어권 상실.

• 유형: CWE-502 (Deserialization of Untrusted Data).
• 체이닝: RCE 성공 후 로컬 권한 상승(Privilege Escalation) 취약점과 연계하여 시스템 최고 권한(SYSTEM/root) 획득 가능.

본 리포트는 다중 소스에서 일관성이 확인된 데이터를 근거로 하며, 특히 EPSS 0.9015(백분위 0.99785)라는 실측값이 이론적 심각도(CVSS 10.0)와 별개로 실제 악용 가능성이 극도로 높음을 시사합니다.

1. 로그 분석 지표

• 대상: WAF/IPS 트래픽 로그, IIS 액세스 로그, Windows 이벤트 로그(Event ID 4688 - 프로세스 생성).
• 핵심 필드: HTTP Request Body, User-Agent, Process Command Line.

2. 탐지 규칙 예시

• L7 페이로드 패턴 (WAF/IPS): .NET 직렬화 객체의 전형적인 헤더 및 타입 식별자 패턴 탐지.
  • 정규식 예시: (?i)(BinaryFormatter|TypeNameHandling|System\.Runtime\.Serialization) 또는 .NET 직렬화 특유의 Base64 인코딩 패턴(AAEAAAD/////).
• SIEM 쿼리 (의사코드): Ad Hoc Transfer 엔드포인트로 유입되는 비정상적 크기의 POST 요청과 이후 발생하는 이상 프로세스 생성 연계 탐지.
  sql복사

   1SELECT timestamp, src_ip, request_body FROM web_logs 
   2WHERE endpoint = '/adhoc/*' AND (request_body LIKE '%AAEAAAD%' OR request_body REGEXP '[특정 .NET 타입 식별자]')
   3JOIN process_logs ON web_logs.server_id = process_logs.server_id
   4WHERE process_name IN ('cmd.exe', 'powershell.exe', 'whoami.exe') 
   5AND time_diff(web_logs.timestamp, process_logs.timestamp) < 5s

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 정상적인 Ad Hoc Transfer 이용자가 전송하는 바이너리 파일이 직렬화 패턴과 유사할 경우 발생 가능.
• 튜닝 방법: 요청 헤더의 Content-Type 확인 및 신뢰된 IP 대역(협력사 등)에 대한 예외 처리 적용.

KEV 등재 및 EPSS 수치를 근거로 'Immediate' 우선순위가 결정되었으므로, 패치 전까지 아래 단계를 즉시 수행하십시오.

1. 즉시 (긴급 차단): L7 페이로드 기반 차단

• 조치: WAF/IPS에서 .NET BinaryFormatter 특유의 직렬화 시그니처를 탐지하여 Drop 처리.
• 난이도: 중간 / 운영 영향: 낮음(정상 트래픽 영향 최소화) / 검증: PoC 페이로드 차단 여부 확인.

2. 단기 (완화): 접근 제어 및 기능 제한

• 조치 A: Ad Hoc Transfer 모듈 사용 중단 또는 외부망 노출 포트 격리.
• 조치 B: 신뢰된 IP(White-list) 기반의 ACL 적용하여 비인가 접근 원천 차단.
• 난이도: 낮음 / 운영 영향: 높음(비즈니스 프로세스 마비 가능성) / 검증: 외부 미승인 IP에서 접속 시도 시 Reject 확인.

3. 근본 (해결): 보안 패치 적용

• 조치: WS_FTP Server를 최신 버전(8.7.4 이상 또는 8.8.2 이상)으로 업그레이드.
• 난이도: 낮음 / 운영 영향: 중간(서비스 재시작 필요) / 검증: 버전 정보 확인 및 패치 노트 대조.

[잔여 리스크] 패치 이후에도 이미 침투하여 생성한 백도어나 웹쉘이 존재할 수 있으므로, C:\Windows\Temp 등 임시 경로의 파일 스캔과 메모리 덤프 분석을 통한 잔존 악성 객체 제거 절차가 반드시 병행되어야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.9015 · exploit=easy · in_scope=None