probablysecure/triage-cve-2021-26855-proxylogon---microsoft-exchange-실습형 CVE 트리아지 랩: NVD 항목 분석, CVSS 벡터 해독, CWE 취약점 매핑, 그리고 ProxyLogon과 같은 유명한 익스플로잇에 대한 위험 맥락 평가를 다룹니다.
이 실습의 목표는 보안 팀이 실제로 하는 것처럼 잘 알려진 실제 취약점을 트리아지하는 연습이었습니다: CVE 세부 정보를 읽고, CVSS 점수를 이해하고, 상황에 따라 실제 위험이 얼마나 높은지 추론하는 것입니다.
국가 취약점 데이터베이스(National Vulnerability Database)로 가서 CVE를 검색했습니다.
https://nvd.nist.gov/vuln/search#/nvd/home?resultType=records
CVE-2021-26855를 검색하고 결과 페이지를 열었습니다.
설명을 읽은 후, 실제로 무엇이 위험에 처해 있는지 파악하기 위해 몇 가지 기본 질문에 답했습니다.
페이지에 나와 있는 CVSS 점수와 벡터 문자열을 확인했습니다.
벡터 문자열을 하나씩 살펴보며 각 부분이 실제로 무엇을 의미하는지 확인했습니다.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
기본적으로 이는 공격자가 이를 악용하기 위해 자격 증명이나 사용자 상호작용이 필요하지 않으며, 악용할 경우 기밀성, 무결성, 가용성을 완전히 손상시킬 수 있다는 뜻입니다. 이러한 조합은 이 CVE가 당시 그토록 심각하고 활발히 악용되는 취약점으로 취급된 큰 이유 중 하나입니다.
NVD 페이지의 Weakness Enumeration 섹션을 확인하여 실제 취약점 범주가 무엇인지 살펴보았습니다.
목록에 있는 CWE는 **CWE-918: 서버 측 요청 위조(SSRF, Server-Side Request Forgery)**입니다. 쉽게 말하면, 서버가 다른 곳에서 받은 URL이나 요청을 그대로 가져오면서, 그 요청이 실제로 의도된 곳으로 가는지 제대로 검증하지 않는다는 의미입니다.
두 가지 서로 다른 시나리오에서 이 취약점을 더 높은 위험 또는 더 낮은 위험으로 평가할지 고려했습니다.
시나리오 1: 취약한 소프트웨어가 실행 중이며 접근 가능한 상태입니다. 더 높은 위험입니다. 이 취약점을 통해 공격자는 자신의 것이 아닌 사서함과 파일에 접근하고, 시스템에서 코드를 실행하거나 변경할 수 있습니다.
시나리오 2: 취약한 소프트웨어가 전원이 꺼져 있고 접근할 수 없는 시스템에 설치되어 있습니다. 더 낮은 위험입니다. 전원이나 네트워크 연결이 없으면 공격자가 애초에 서버에 도달하여 취약점을 악용할 방법이 없습니다.
이번 실습은 CVE의 심각도 점수가 전부가 아니라는 점, 실제 위험은 취약한 시스템이 접근 가능한지 여부와 같은 맥락에 달려 있다는 점을 잘 일깨워 주었습니다. 오프라인 시스템의 치명적인 취약점과 인터넷에 노출된 운영 중인 서버의 동일한 취약점은 매우 다른 위험입니다.