[단독분석] 분석 — CVE-2020-25213

• 심각도 critical · CVSS 10.0 · EPSS 0.97328 · 악용난이도 easy · KEV

• 취약점 원리: wp-file-manager 플러그인이 안전하지 않은 elFinder connector 예제 파일을 .php 확장자로 변경하여 노출시키는 설계 결함에서 비롯됩니다.
• 공격 경로: 인증되지 않은 원격 공격자가 외부에서 접근 가능한 elFinder 커넥터 엔드포인트를 통해 upload, mkfile, 또는 put 명령을 전송합니다.
• 실행 단계: 위 명령을 이용해 임의의 PHP 코드를 wp-content/plugins/wp-file-manager/lib/files/ 경로에 파일 형태로 생성한 후, 해당 파일을 HTTP 요청으로 호출하여 서버 측에서 원격 코드 실행(RCE)을 달성합니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 나타내듯, 인증되지 않은 원격 공격자가 특별한 사전 조건이나 사용자 상호작용 없이 네트워크를 통해 즉시 실행 가능한 매우 낮은 난이도의 취약점입니다. 공격 표면은 wp-file-manager 플러그인의 elFinder 커넥터 엔드포인트이며, 특히 안전하지 않은 예제 파일이 .php 확장자로 이름 변경되어 외부에 노출된 점이 핵심 트리거 조건입니다. 공격자는 해당 엔드포인트의 upload, mkfile, put 명령을 통해 서버 내 wp-content/plugins/wp-file-manager/lib/files/ 경로에 임의의 PHP 코드를 직접 생성하고 실행할 수 있습니다. 이론적 심각도를 넘어 실제 위협인 이유는 EPSS 점수가 0.97328로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되어 이미 야생에서 광범위하게 악용된 사례가 입증되었기 때문입니다. 따라서 공격자는 복잡한 페이로드 설계 없이 공개된 취약점 경로를 통해 즉각적으로 원격 코드 실행(RCE)을 달성할 수 있어 악용 가능성이 극히 높습니다.

• 영향 제품: filemanagerpro file_manager 버전 6.9 미만.
• 기술적 위험: CVSS 10.0 및 벡터(AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)가 나타내듯, 공격자 권한 없이 네트워크를 통해 시스템의 완전한 제어권을 획득할 수 있습니다. 이는 웹 쉘 설치를 통한 데이터베이스 접근, 민감 정보 유출, 서버 내 임의 파일 수정 및 삭제로 이어집니다.
• 비즈니스 리스크:
  • 가용성 및 신뢰: 시스템 전체 장악으로 인한 서비스 중단 및 악성코드 배포지로 활용될 가능성이 높습니다.
  • 컴플라이언스: 고객 데이터 유출 시 개인정보 보호법 등 법적 규제 위반 및 기업 신뢰도에 치명적인 타격을 줍니다.
• 위협 맥락: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 특히 KEV(Known Exploited Vulnerabilities) 등재 및 2020년 8~9월 실제 야생 악용 사례가 관측된 실전적 위협입니다.

• 유형: 파일 업로드 취약점을 통한 RCE 패턴입니다.
• 체이닝 가능성: 확보한 웹 서버 권한을 기반으로 내부 네트워크 스캔 및 OS 커널 취약점을 이용한 권한 상승(Privilege Escalation)으로 이어질 수 있습니다.

• 파일 시스템: wp-content/plugins/wp-file-manager/lib/files/ 경로 내에 생성된 생소한 .php 파일 존재 여부 및 생성 시간 확인.
• 네트워크 로그: elFinder 커넥터 엔드포인트로 유입되는 upload, mkfile, put 명령이 포함된 HTTP POST 요청 패턴 모니터링.

• 우선순위 판단: EPSS 0.97328(실제 악용 예측 최고 수준) 및 KEV 등재, 낮은 공격 난이도(easy)를 근거로 Immediate(24시간 내) 대응이 필요합니다.
• 근본 해결: wp-file-manager 플러그인을 최신 버전(6.9 이상)으로 즉시 업데이트하십시오.
• 즉시 조치: 패치가 불가능한 경우, 해당 플러그인을 비활성화하거나 웹 방화벽(WAF)을 통해 elFinder 커넥터 관련 요청을 차단하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.97328 · exploit=easy · in_scope=None