[방어] 분석 — CVE-2019-0604

• 심각도 critical · CVSS 9.8 · EPSS 0.99825 · 악용난이도 easy · KEV

SharePoint는 업로드된 .wsp(웹 솔루션 패키지) 파일의 마크업을 검증하지 않아, 원격 사용자가 HTTP POST 요청으로 임의 .wsp 를 전송하면 서버가 해당 패키지를 역직렬화하고 System.Web.UI.Page 객체를 변조한다. 이 과정에서 악성 코드가 실행되어 전체 시스템 권한으로 명령이 수행된다. 인증 여부와 무관하게 네트워크 접근만 가능하면 공격이 성립한다.

악용 가능성: 이 취약점은 AV:N·AC:L·PR:N·UI:N 로 표시된 바와 같이 네트워크를 통해 직접 접근 가능하고, 공격자는 별도의 인증이나 사용자 상호작용 없이 즉시 악성 패키지를 전송해 원격 코드 실행을 달성할 수 있어 난이도가 “easy” 로 평가됩니다. EPSS 0.99825 라는 거의 100%에 가까운 실측 위협 점수는 실제 공격이 발생할 확률이 매우 높다는 것을 의미하며, KEV(공개 악용) 등재 사실은 이미 공격자들이 이 취약점을 활용하고 있음을 입증합니다. 공격자는 SharePoint 서버가 제공하는 애플리케이션 패키지 업로드 엔드포인트(예: /_layouts/15/appcatalog/upload.aspx 또는 REST API 기반 /_api/web/GetFolderByServerRelativeUrl) 를 통해 악성 마크업을 삽입합니다. 이 엔드포인트는 기본적으로 HTTP/HTTPS 포트(80·443) 에 노출되어 있어 외부 네트워크에서 직접 접근이 가능하고, 방화벽이나 프록시가 별도로 차단하지 않는 한 공격 표면이 넓습니다. 취약점이 존재하는 버전의 SharePoint는 내부 혹은 DMZ에 배치된 경우에도 동일하게 악용될 수 있어, 네트워크 경계와 관계없이 모든 서비스 인스턴스가 위험 대상이 됩니다. 따라서 이 취약점은 공격자가 최소한의 사전 준비만으로도 광범위히 악용할 수 있는 고위험 시나리오에 해당합니다.

• 서버 수준에서 임의 .NET 코드 실행 → 전역 관리자 권한 탈취
• 파일 시스템·레지스트리·서비스 제어 등 모든 로컬 자원에 대한 완전 통제 확보
• 추가 악성 웹쉘 배포·데이터 유출·랜섬웨어 침투 등 2차 공격 경로 개방

• 동일 SharePoint 솔루션 배포 파이프라인을 이용한 CVE-2019-0594(권한 상승)
• 일반적인 .NET 역직렬화 취약점(CWE‑502)과 결합 시 페이로드 변조가 쉬워짐

• 로그 지표

  • IIS Access 로그: cs-uri-stem에 “*.wsp” 포함, HTTP method = POST, sc-status ≥ 200.
  • ULS 로그: EventID = “SolutionDeployment”, Category = “SharePoint Solutions”.
  • PowerShell‑Operational 로그: ScriptBlockText에 “Add‑Solution”, “Install‑Solution” 등.
  • WebDAV 요청 로그: verb = PUT/PROPFIND, URL 경로 포함 “/_catalogs/” 또는 “/_layouts/”.

• SIEM 쿼리 예시 (KQL)

  text복사

   1// 1) .wsp 파일 업로드 시도 감지
   2IISLogs
   3| where csMethod == "POST"
   4      and csUriStem matches regex @"\.wsp$"
   5      and scStatus in (200,201,202)

  text복사

   1// 2) SharePoint 솔루션 배포 이벤트 탐지
   2ULS_Logs
   3| where Message contains "SolutionDeployment" 
   4      or Message contains "Add‑Solution"

  text복사

   1// 3) PowerShell을 통한 솔루션 설치 시도
   2SecurityEvent
   3| where EventID == 4104
   4      and ScriptBlockText matches regex @"\b(Add|Install)-Solution\b"

• 오탐 튜닝

  • 정상적인 관리자가 배포하는 .wsp 파일은 사전에 허용된 경로와 해시 목록을 화이트리스트에 추가.
  • sc-status가 404·403인 경우는 차단 이벤트이므로 알림 제외.
  • PowerShell 로그에서 “Add‑Solution”이지만 UserDomain\Administrator 등 신뢰 계정이면 경고 레벨 낮춤.

잔여 리스크: 패치 적용 전까지는 파일 무결성 모니터링·네트워크 차단이 핵심; 이미 침투된 세션이나 탈취된 인증 토큰은 완전 차단이 어려우므로 사고 발생 시 즉시 계정 비밀번호 재설정 및 MFA 재등록 절차를 수행해야 함.

인시던트 대응 플레이북 요약

1. 경보 발생 → 해당 요청 IP와 사용자 계정 확인.
2. IIS·ULS 로그에서 동일 파일 업로드 시도 여부 전수 조사.
3. 신규 .wsp 파일이 존재하면 즉시 격리(파일 삭제) 및 시스템 재부팅.
4. 관련 계정 MFA 적용 상태 점검, 필요 시 비활성화 후 재인증.
5. 패치가 가능해지는 대로 긴급 업데이트 적용.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99825 · exploit=easy · in_scope=None