CVE-2026-104935: 체인 공격에 활용된 Ivanti Connect Secure 제로데이 취약점

요약

UTA0576으로 추적되는 위협 행위자가 Ivanti Connect Secure 장비의 3가지 취약점 체인을 악용하여 인증되지 않은 루트 접근 권한을 얻었습니다. 공격 체인은 인증 우회를 원격 코드 실행 결함과 결합하고, 패치되지 않은 권한 상승 취약점을 따랐습니다. 행위자는 메모리 내 페이로드에 의존하여 가시성을 줄이고 표준 무결성 검사 도구에 의한 탐지를 피했습니다.

조사

Volexity는 ICS VPN 장비와 관련된 사건을 조사하는 동안 활동을 식별했습니다. 조사는 행위자가 파일 시스템의 흔적을 최소화하기 위해 Perl, Bash, 및 Python 스크립트를 사용하여 단계별 메모리 내 페이로드를 배포했음을 보여주었습니다. 공격자의 반포렌식 기술 및 의도적인 로그 변조로 인해 메모리 및 디스크 이미지를 통한 법의학 재구성이 필요했습니다.

완화

조직은 Ivanti Connect Secure를 즉시 22.8R2.5 버전 이상으로 업그레이드하거나 25.1 코드 라인으로 전환해야 합니다. 사용자는 패치되지 않은 권한 상승 결함에 주의하고 침입 징후를 지속적으로 모니터링해야 합니다. Ivanti 무결성 검사 도구에만 의존하는 것은 메모리 내 수정사항을 식별하지 못할 수 있기 때문에 불충분합니다.

대응

의심스러운 활동이 식별되면 응답자는 상세한 법의학 분석을 위해 메모리 이미지, 디스크 이미지, 코어 덤프를 획득해야 합니다. welcome.cgi에 대한 요청량 증가 및 X-DSCGI-PATH 헤더와 관련된 이상 현상에 대해 웹 로그를 모니터링하십시오. 임시 디렉터리에서 예상치 못한 스크립트를 검사하고 디버그 또는 감사 로그에서 변조를 나타내는 간격을 검토하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적은 초기 공격 기반을 얻기 위해 Ivanti Connect Secure 장비의 알려진 취약점을 악용하려고 합니다. URL 자체의 경로 탐색을 찾기 위한 전통적인 서명 기반 WAF 규칙을 피하기 위해 X-DSCGI-PATH 헤더를 사용합니다. 목표는 웹 서버가 임시 또는 쓰기 가능한 디렉터리 (/home/runtime/tmp/) 내 스크립트를 실행하도록 하는 경로를 주입하여 인증을 우회하고 임의의 명령을 실행하는 것입니다.

• 회귀 테스트 스크립트: 이 스크립트는 Sigma 규칙에 정의된 특정 헤더와 URI 조합을 포함한 악의적인 HTTP 요청을 시뮬레이션합니다.

  #!/bin/bash
  # Ivanti Connect Secure 인증 우회/RCE 시뮬레이션
  # 대상: Ivanti Connect Secure 웹 인터페이스
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] T1190/T1212 시뮬레이션 시작..."
  echo "[*] $TARGET_URL에 악의적인 요청 전송 중"
  
  # curl을 사용하여 제작된 헤더 전송
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] 요청 전송 성공. SIEM에서 탐지 확인."
  else
    echo "[-] 요청 전송 실패."
  fi

• 정리 명령:

  # 해당 시뮬레이션으로 대상 시스템에 영구적인 변경은 발생하지 않습니다.
  # 실제 공격 중 업로드되었을 수 있는 파일이 있다면 여기에 삭제됩니다.
  echo "[*] 정리: 해당 시뮬레이션 동안 대상에서 수정된 파일은 없습니다."