[방어] 분석 — CVE-2025-52691

• 심각도 critical · CVSS 10.0 · EPSS 0.85457 · 악용난이도 easy · KEV

비인증 상태의 공격자가 파일 업로드 기능을 악용하여 서버 내 임의 위치에 파일을 생성하는 취약점입니다.

• 경로: 외부 노출된 HTTP 엔드포인트 $\rightarrow$ 파일 업로드 로직 우회 $\rightarrow$ 웹 루트 또는 실행 가능 경로에 파일 쓰기.
• 단계: 추정: .NET 환경 특성상 단순 확장자 필터링을 Null Byte Injection이나 Path Traversal로 우회하여 .aspx 셸을 업로드하거나, .config 파일을 변조하여 Application Pool 권한을 탈취하는 체이닝 단계가 수반될 수 있습니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 실제 악용 가능성은 극히 높습니다. CVSS 벡터가 AV:N/AC:L/PR:N/UI:N인 점을 통해, 인증되지 않은 외부 공격자가 특별한 전제 조건이나 사용자 상호작용 없이 네트워크를 통해 즉시 공격할 수 있는 환경임을 알 수 있습니다. 특히 EPSS 수치가 0.85457로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이론적 위험을 넘어 이미 실제 공격 그룹들이 자동화된 도구를 통해 활발히 악용하고 있음을 시사합니다. 주요 공격 표면은 메일 서버의 파일 업로드 관련 엔드포인트와 파라미터이며, SMTP나 HTTP 기반의 관리 인터페이스가 외부로 노출된 경우 즉각적인 타겟이 됩니다. 공격자는 임의의 위치에 파일을 업로드하는 트리거 조건을 이용해 웹쉘(WebShell) 등을 생성함으로써 최종적으로 Remote Code Execution(RCE)을 달성할 수 있습니다. 따라서 방어자 관점에서는 단순한 가능성이 아닌, 현재 진행 중인 실질적 위협으로 간주하고 대응해야 합니다.

• RCE (Remote Code Execution): 웹 셸 업로드 성공 시 서버의 제어권을 완전히 획득할 수 있으며, CVSS 10.0 및 S:C(Scope Changed) 특성상 메일 서버를 넘어 내부 네트워크로의 횡적 이동(Lateral Movement) 가능성이 매우 높습니다.
• 데이터 유출: 기업 메일 인프라 특성상 모든 사용자 메일 데이터 및 계정 정보에 대한 무단 접근이 가능합니다.

• Path Traversal: 업로드 경로 조작을 통해 웹 루트(wwwroot) 등 실행 권한이 있는 디렉터리로 파일을 강제 배치하는 기법과 연계될 수 있습니다.
• Configuration Overwrite: .config 파일 덮어쓰기를 통한 애플리케이션 설정 변경 및 권한 상승 체이닝 가능성이 존재합니다.

다중 소스에서 일관성이 확인된 데이터와 EPSS 0.85457(실제 악용 예측 최고 수준) 수치를 근거로, 공격 시도가 빈번할 것으로 판단하여 다음과 같이 탐지를 설계합니다.

1. 로그 지표 및 모니터링 대상

• IIS Access Log: cs-method=POST, cs-uri-stem (업로드 관련 엔드포인트), sc-status=200.
• Windows Event Log: Event ID 4688 (새 프로세스 생성 - 특히 w3wp.exe가 cmd.exe나 powershell.exe를 실행하는 경우).
• File System Audit: 웹 루트 및 임시 디렉터리(Temporary Directory) 내의 신규 .aspx, .ashx, .config 파일 생성 이벤트.

2. 탐지 규칙 예시 (SIEM/IDS)

• Rule 1 (HTTP Payload 분석 - WAF/IPS):
  • Condition: Method == POST AND Payload contains ("multipart/form-data") AND Payload matches (/\.\.\// | /%2e%2e%2f/)
  • Description: 파일 업로드 요청 중 Path Traversal 시도 탐지.
• Rule 2 (Web Shell 생성 탐지 - EDR/SIEM):
  • Query: Process_Name == "w3wp.exe" AND Target_File_Extension == ".aspx" AND File_Path contains ("\wwwroot\" OR "\temp\")
  • Description: WAS 프로세스가 실행 가능 경로에 웹 페이지 파일을 생성하는 행위 탐지.
• Rule 3 (비정상 자식 프로세스 - EDR):
  • Query: Parent_Process == "w3wp.exe" AND Child_Process IN ("cmd.exe", "powershell.exe", "whoami.exe", "net.exe")
  • Description: 업로드된 웹 셸을 통한 RCE 실행 단계 탐지.

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 정상적인 관리자 파일 업로드 또는 업데이트 프로세스가 .config 파일을 수정하는 경우.
• 튜닝 방법: 요청 IP가 내부 신뢰 구간(Admin IP)인지 확인하고, 생성된 파일의 해시값을 화이트리스트와 대조하여 튜닝합니다.

본 취약점은 KEV 등재 및 EPSS 수치가 매우 높아 'Immediate' 우선순위로 대응해야 합니다.

1. 즉시 (긴급 차단 - Immediate)

• 조치: WAF/IPS에서 파일 업로드 관련 엔드포인트에 대해 POST 요청 내 Path Traversal 패턴(../, %2e%2e%2f) 및 위험 확장자(.aspx, .config, .exe)가 포함된 페이로드를 즉시 차단(Drop)합니다.
• 난이도: 낮음 / 운영 영향: 낮음 (정상 업로드 기능 일시 제한 가능성) / 검증: 외부에서 특수문자가 포함된 파일 업로드 시도 시 403/406 응답 확인.

2. 단기 (위험 완화 - Short-term)

• 조치: 웹 서버의 실행 권한 분리 및 디렉터리 권한 강화. wwwroot 내의 업로드 폴더에 대해 '실행(Execute)' 권한을 제거하고, WAS 계정(Application Pool Identity)이 시스템 중요 파일(.config 등)을 수정할 수 없도록 NTFS 권한을 Read-Only로 제한합니다.
• 난이도: 중간 / 운영 영향: 중간 (일부 애플리케이션 기능 동작 여부 확인 필요) / 검증: 낮은 권한 계정으로 해당 경로에 파일 쓰기/실행 시도 시 Access Denied 확인.

3. 근본 (해결 - Root Cause)

• 조치: SmarterMail Build 9406 이후의 최신 보안 패치 버전으로 업데이트합니다.
• 난이도: 낮음 / 운영 영향: 중간 (서비스 재시작으로 인한 일시적 중단) / 검증: 업데이트 후 빌드 버전 확인 및 취약점 스캔 도구를 통한 재검증.

잔여 리스크: 패치 이후에도 이미 업로드된 웹 셸이 존재할 수 있으므로, 반드시 전체 웹 루트 디렉터리의 무결성 검사(Baseline 비교)를 수행하여 침해 여부를 먼저 확인해야 합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.85457 · exploit=easy · in_scope=None