헤더 하나로 로그인 절차를 건너뛴 파일서버, 만 대가 열려 있었다
헤더 하나로 로그인 절차를 건너뛴 파일서버, 만 대가 열려 있었다
분류: CVE · 웹·서버 · RCE [정보성] · CVE-2023-43177
덱. 2023년 8월, 보안업체 Converge의 연구자들은 기업용 파일 전송 소프트웨어 CrushFTP에서 인증 절차 자체를 우회하는 제로데이 취약점을 발견했습니다. 공격자는 로그인 없이 특정 프로토콜의 요청 헤더만 조작해 서버 내부 파일을 읽고 지우고, 결국 원격 코드 실행까지 이를 수 있었습니다. 공개 인터넷에 노출된 인스턴스만 약 1만 대로 알려졌습니다.
리드
기업용 파일 전송 소프트웨어(MFT, Managed File Transfer)는 최근 몇 년간 대규모 침해 사고의 단골 진입점으로 지목돼 왔습니다. 2023년 한 해에만 MOVEit(CVE-2023-34362), GoAnywhere(CVE-2023-0669) 같은 MFT 제품에서 인증 우회·원격코드실행급 결함이 잇따라 터졌고, 그때마다 랜섬웨어 그룹이 빠르게 달라붙었습니다. CrushFTP의 이번 제로데이도 같은 계열의 사례입니다 — 사업 파트너 간 파일 교환이라는, 인터넷에 직접 노출될 수밖에 없는 역할을 맡은 소프트웨어가 어떻게 침해의 관문이 되는지를 보여줍니다.
핵심 사실 요약
- 2023년 8월, Converge 소속 연구자들이 CrushFTP 엔터프라이즈 제품군에서 인증 없이 악용 가능한(unauthenticated) 제로데이 취약점(CVE-2023-43177)을 발견했다고 원문은 전합니다.
- 이 취약점은 CVSS 3.1 기준 **9.8점(Critical)**로 평가됐습니다(NVD,
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) — 인증도 사용자 개입도 없이 원격에서 기밀성·무결성·가용성 전부에 최고 수준 영향을 줄 수 있다는 뜻입니다. - 근본 원인은 매스 어사인먼트(mass assignment) 결함입니다 — CrushFTP가 AS2 프로토콜 요청 헤더를 처리하는 과정에서, 공격자가 헤더 값을 조작해 사용자 세션 정보(서버 내부에서 Java Properties 형태로 다뤄지는 값)를 부분적으로 통제할 수 있었습니다. 이 설명은 원문뿐 아니라 별도의 독립 기술분석으로도 교차 확인됐습니다.
- 이 결함을 악용하면 임의 파일 읽기·삭제가 가능해지고, 원문은 이것이 결국 루트 권한 원격 코드 실행까지 이어질 수 있다고 설명합니다.
- 공격은 CrushFTP 웹 인터페이스(80, 443, 8080, 9090 포트 등)로 보내는 HTTP 요청 헤더를 통해 이뤄지며, 그중
AS2-To헤더가 핵심으로 지목됐습니다. AS2 기능을 쓰지 않는 서버에서 AS2 관련 트래픽이 관측되면 공격 시도의 신호로 봐야 한다고 원문은 권고합니다. - 원문은 노출 규모를 공개 인터넷상 약 1만 개 인스턴스, 사내망 안쪽에는 이보다 많은 수로 제시합니다(meterpreter.org, 2023년 11월 기사 기준 — 이 수치의 원출처는 이 초안에서 별도 확증하지 못했습니다).
- 영향을 받는 범위는 10.5.1 미만 버전이며, CrushFTP 개발팀은 2023년 8월 버전 10.5.2로 패치를 배포했습니다. Converge 연구팀의 상세 기술분석과 PoC(개념증명) 공개는 패치로부터 약 3개월 뒤인 그해 11월에 이뤄졌고, 실제 공격 시도는 그 이후부터 관측되기 시작한 것으로 보입니다 — 즉 패치가 이미 나와 있는 상태에서 뒤늦게 공개된 분석·PoC를 계기로 악용이 번진 사례이며, 패치 이전부터 야생에서 활발히 악용됐다는 근거는 확인되지 않았습니다.
- 권고된 대응책으로 원문은 최신 버전 업데이트, 유휴 시간대 보안패치 자동적용 설정, 기본 비밀번호 해시 알고리즘을 Argon으로 전환, 신규 계정·비밀번호 변경 이력 감사, 그리고 Converge의 피드백을 반영해 CrushFTP가 새로 도입한 강화 모드(Limited Server mode) 활성화를 꼽았습니다.
짧은 논평
CrushFTP는 소스가 공개돼 있지 않아 이 초안에서 저희가 코드 레벨로 근본원인을 직접 짚기는 어렵습니다. 다만 이 사례가 놓인 자리는 눈여겨볼 만합니다. MFT 소프트웨어는 태생적으로 여러 프로토콜(FTP, SFTP, HTTP, WebDAV, 그리고 이번에 문제가 된 AS2)을 한 서버 안에서 동시에 처리합니다. 프로토콜이 늘어날수록 파서(parser)도 늘어나고, 파서 하나하나가 독립된 공격 표면이 됩니다 — 이번 결함도 잘 안 쓰이는 AS2 파서 쪽에서 터졌습니다. 게다가 MFT는 사업 파트너와 파일을 주고받는 역할상 인터넷에 직접 열어둘 수밖에 없는 경우가 많고, 뚫리면 그 안에 쌓인 여러 조직의 민감 데이터가 한 번에 노출됩니다. 공격자 입장에서는 노력 대비 수확이 큰 표적인 셈이고, 이 계열 결함이 MOVEit·GoAnywhere·CrushFTP처럼 반복해서 터지는 배경이라고 저희는 보고 있습니다. 이 한 틈은 고쳐졌지만 이 사고방식은 다른 자리에서 또 나옵니다 — 그래서 저희는 도구가 아니라 방법을 남깁니다.
References / 참고자료
- Nam Phong, meterpreter.org, “CVE-2023-43177: CrushFTP Zero-Day Vulnerability Threatens Thousands of Organizations” — 이 글이 재구성한 원 분석. 2023년 11월 게재. https://meterpreter.org/cve-2023-43177-crushftp-zero-day-vulnerability-threatens-thousands-of-organizations/
이 글은 위 원 분석을 우리 관점에서 다시 쓰고 짧은 논평을 더한 정보성 초안입니다. 특정 문장·수치를 그대로 옮기지 않았으며, 작동하는 재현 절차는 싣지 않았습니다. ⚠️미확인 표시 항목은 발행 전 독립 팩트체크에서 확증·정정되어야 합니다.