CVE-2025-54253: Adobe AEM-Forms 제로데이 내부 — 침투 테스터와 방어자가 반드시 알아야 할 사항

TL;DR: Adobe Experience Manager (AEM) Forms on JEE (≤ 6.5.23.0)에는 잘못 사용된 Struts/OGNL 엔드포인트를 통해 인증되지 않은 원격 코드 실행을 허용하는 중요 네트워크 접근 가능 취약점(CVE-2025-54253)이 존재했습니다. 함께 제공되는 XXE(CVE-2025-54254)는 임의 파일 읽기를 가능하게 합니다. 이는 영향력이 큰 엔터프라이즈 문제입니다. 즉시 패치를 적용하고, 침해 지표를 탐지하며, 강화된 구성 및 탐지 통제를 적용하십시오.

a-cyberpunk-style-workstation-setup-with_JmudVz1sTu-Mqm9Q4cCJ9w_vhCAoRWURjuwUITrGoLjfw

이것이 중요한 이유

AEM은 대기업 어디에서나 볼 수 있습니다: 마케팅 사이트, 문서 워크플로, 그리고 종종 PII(개인 식별 정보)와 비즈니스 중요 콘텐츠를 보유하는 양식입니다. 따라서 AEM-Forms에서의 인증되지 않은 RCE는 공격자에게 잭팟입니다 — 진입, 측면 이동 준비, 민감 데이터 유출이 모두 현실적인 결과가 됩니다. Adobe는 공개 PoC가 유포되기 시작한 직후 패치와 권고를 발표하여 이를 긴급하고 현실적인 위험으로 격상시켰습니다.

취약점 — 개괄

기술적 수준에서 CVE-2025-54253은 AEM Forms (JEE에서 실행)가 노출하는 서버 구성 요소에 의해 사용자 제어 입력이 안전하지 않게 평가되는 데서 비롯됩니다. 즉, 적절히 차단되지 않은 OGNL/Struts 스타일의 평가 경로를 효과적으로 활성화합니다. 실제로는 공격자가 네트워크에 노출된 엔드포인트에 도달하여 서버 측 평가를 트리거하고, 그 결과 임의 명령 실행이 발생합니다. CVE-2025-54254는 전형적인 XML 외부 엔티티(XXE)로, 서버에서 파일을 읽을 수 있게 하며, 일반적으로 비밀 파일, 자격 증명 또는 환경 세부 정보를 파악하기 위해 에스컬레이션 전에 사용됩니다. NVD 및 Adobe 권고는 취약점 메타데이터와 심각도 점수를 제공합니다.

공격자의 플레이북

발견: 인터넷에 노출된 AEM 인스턴스는 지문 및 서비스 배너를 통해 열거될 수 있습니다.
프로빙: 공격자는 취약한 엔드포인트 / Struts 디버그 경로를 찾고 OGNL 평가 동작을 테스트합니다.
정찰 (XXE): XXE가 존재하면 공격자는 자격 증명과 엔드포인트를 수집하기 위해 파일(구성, 키스토어)을 읽습니다.
RCE (CVE-54253): 평가 경로를 악용하여 코드 실행을 획득하고, 웹 셸, 백도어를 설치하거나 지속성을 생성합니다.
사후 악용: 대상에 따라 측면 이동, 데이터 덤프, 또는 랜섬웨어/크립토마이너 배포를 수행합니다.

_- visual selection (3)

공개된 개념 증명 및 데모가 리포지토리와 PoC를 집계하는 주제 검색에 게시되었습니다. 연구/컨텍스트로만 검토하고, 악의적으로 재사용하지 마십시오.

내가 먼저 테스트하는 것

환경을 테스트할 때 나는 방어자에게 보여주고 게시해도 안전한 짧고 반복 가능한 체크리스트를 따릅니다:

인벤토리: 모든 인터넷 연결 및 내부 AEM 호스트를 찾아 버전을 기록합니다. (배너 수집 + 애플리케이션 지문으로 시작)
엔드포인트 존재: 관리자/디버그 엔드포인트 또는 Struts 관련 URL을 찾습니다 (비침입 프로브만).
XXE 정찰 테스트: 읽기 전용, 통제된 페이로드를 사용하여 외부 엔티티 처리를 탐지합니다. 권한 없이 프로덕션 시스템에서 민감한 파일을 읽으려 시도하지 마십시오.
구성 확인: 개발자/디버그 모드가 활성화되었는지, 관리 포트가 인터넷에 노출되거나 지나치게 허용적인 네트워크에 있는지 확인합니다.
패치 확인: AEM이 Adobe 권고에 나열된 수정 버전으로 업데이트되었는지 확인합니다.

이러한 점검을 통해 파괴적 행위 없이 신속하게 위험을 분류하고 완화를 위한 증거 세트를 구축할 수 있습니다.

탐지 및 블루팀 조치

방어자는 몇 가지 신호 강도가 높은 지표에 집중해야 합니다:

로그 서명: Struts/OGNL 엔드포인트에 대한 예상치 못한 POST, 평가 마커를 포함한 긴 페이로드, admin/debug 경로와 같은 비정상적인 요청 URI. 이러한 패턴을 모니터링하고 경고를 설정합니다.
액세스 패턴: 단일 IP에서 양식 엔드포인트에 대한 요청의 갑작스러운 급증; JSON이 예상되는 곳에 XML 콘텐츠가 포함된 요청 (XXE 시도 가능).
아웃바운드 이상 징후: 양식 제출 처리 후 서버가 아웃바운드 연결(DNS/HTTP)을 시도하는 경우 — SSRF, XXE 유출 시도 또는 콜백 단계를 나타낼 수 있습니다.
파일 액세스: 애플리케이션 구성 파일, 키스토어 또는 /etc 파일에 대한 예상치 못한 읽기가 의심스러운 요청과 연관된 로그에 나타남.

ProjectDiscovery/Nuclei와 커뮤니티 탐지 템플릿이 이 문제에 대해 신속하게 나타났습니다. 방어자는 비익스플로잇 템플릿을 사용하여 취약한 호스트를 지문으로 식별하고 악용 코드를 실행하지 않고 경고를 생성할 수 있습니다.

완화

즉시 패치 적용. Adobe의 권장 수정 사항(Adobe 게시판에 따라 AEM 6.5.0-0108 이상)을 적용합니다. 운영 엔지니어라면 인터넷 연결 인스턴스와 클러스터에 우선순위를 두십시오.
네트워크 강화. ACL/VPN을 사용하여 관리 및 관리자 인터페이스를 제한합니다. 관리 경로를 공개 인터넷에 노출하지 마십시오.
WAF/프록시 규칙. OGNL 유사 페이로드와 잘못된 XML 입력을 차단하는 규칙을 만듭니다. 오탐을 줄이기 위해 튜닝합니다.
개발/디버그 모드 비활성화. 많은 침해는 남겨진 개발자 기능에서 비롯됩니다. 프로덕션 이미지에서 디버그 엔드포인트와 개발자 모드를 제거하십시오.
인벤토리 및 비밀 교체. 침해 징후가 감지되면 XXE 또는 구성 읽기를 통해 노출될 수 있었던 키, 비밀, 인증서를 교체합니다.
패치 오케스트레이션 및 검증. CI/CD 또는 운영 파이프라인에 자동화된 점검을 추가하여 AEM 버전을 확인하고 이상값을 표시합니다.

책임 있는 공개 및 윤리 참고 사항

이는 이중 사용 연구의 전형적인 예입니다: 기술 문서, PoC 및 악용 데모가 실제로 존재하며 학습에 필수적이지만, 광범위하게 배포된 엔터프라이즈 소프트웨어의 제로데이에 대한 무기화된 단계별 악용 코드를 게시하는 것은 공격자에게 이익이 됩니다. 이 글에서는 실행 가능한 악용 코드를 피하고 대신 탐지, 완화 및 안전한 테스트 패턴에 초점을 맞춥니다. 컨텍스트를 위해 권고와 PoC 리포지토리를 인용하되, 직접 악용 페이로드를 게시하지 마십시오.

마무리 및 행동 촉구

엔터프라이즈 웹 플랫폼을 운영하거나 감사한다면 AEM을 고가치 자산으로 취급하십시오: 모든 인스턴스를 인벤토리하고, 신속하게 패치 또는 완화하고, 제가 설명한 특정 요청 지문과 비정상적인 사후 악용 행동을 찾는 탐지 통제를 추가하십시오. 작성자를 위한 조언: 기술 개요, 안전한 탐지 방법, 버전만 확인하는 자동화 스크립트를 결합한 CVE 중심의 글은 레드팀과 블루팀 모두에게 깊은 공감을 얻을 것입니다.

CVE-2025-54253-Inside-the-Adobe-AEM-Forms-Zero-Day

인기