세 가지 서로 다른 취약점(CVSS 점수 각각 10.0)이 인터넷상의 누구나 인증 없이 ServiceNow 서버에서 코드를 실행할 수 있게 합니다. 이 플랫폼을 사용하는 수천 개의 조직에 절대적인 긴급 상황입니다.

ServiceNow: 세 개의 CVSS 10.0 CVE, 인증 없이 원격 코드 실행 - 긴급 패치 필요

상황

ServiceNow라는 글로벌 IT 서비스 관리(ITSM) 플랫폼에 세 개의 별개의 취약점이 발견되었습니다. 이 플랫폼은 전 세계 수천 개의 조직에 배포되어 있습니다. 세 취약점 모두 최대 CVSS 점수 10.0/10을 받았으며, 인증 없이 원격 코드 실행(RCE)을 허용합니다. 보안 업계에서는 이를 "pre-auth RCE"라고 부르며, 가장 위험한 시나리오로 꼽힙니다.

공격자는 인터넷에서 ServiceNow 계정 없이도 서버에서 임의의 코드를 실행할 수 있습니다. 세 취약점은 서로 다른 구성 요소에 영향을 미치며, 다양한 공격 벡터가 존재합니다.

ServiceNow가 주요 타겟이 되는 이유

ServiceNow는 нише(니치) 도구가 아닙니다. 세계에서 가장 많이 배포된 ITSM 플랫폼 중 하나로, 대기업, 정부 기관, 병원, 은행 등에 사용됩니다. IT 티켓, 자산, HR 워크플로우, 규정 준수 등을 관리하며, 종종 민감한 데이터(자격 증명, HR 정보, 시스템 구성 등)를 저장합니다. 또한 내부 SI(정보 시스템)와 잘 연결되어 있습니다.

ServiceNow에서 RCE가 발생하면 잠재적으로 민감한 데이터 접근, 네트워크 나머지 부분으로의 이동, 장기적인 지속성(인증 로그 손상 없음)으로 이어질 수 있습니다. ServiceNow는 Citrix, Ivanti, MOVEit와 함께 대규모 엔터프라이즈 플랫폼 중 하나로, CVE 공개 후 대규모로 악용되는 불명예스러운 목록에 이름을 올렸습니다.

랜섬웨어 그룹들은 이러한 취약점을 공개한 직후부터 적극적으로 스캔하고 있습니다. 패치가 적용되지 않은 인스턴스는 신속하게 침해될 위험이 있습니다.

기술적 분석

공격 방법에 대한 세부 정보는 아직 부분적으로 공개되지 않았습니다(책임 있는 공개 방식의 일반적인 지연). 알려진 바에 따르면, 세 취약점은 인증 없이 접근 가능한 엔드포인트(API, 관리 인터페이스)에 영향을 미치며, 서버 측에서 높은 권한으로 코드를 실행할 수 있습니다. 세 개의 서로 다른 구성 요소가 영향을 받아 공격 표면이 증가합니다.

지금 해야 할 일

즉시 수행해야 할 조치

1. ServiceNow 패치를 즉시 적용 - 공식 지원 포털의 Security Advisory를 참조하세요. 최우선 순위(P0)로 처리하세요.
2. 네트워크 노출 평가: 인스턴스가 VPN 없이 인터넷에 노출되어 있습니까? 그렇다면 패치 전이라도 즉시 WAF 및 네트워크 접근 제한을 적용하세요.
3. 최근 접근 로그 감사: 인증되지 않은 엔드포인트에 대한 요청, 예상치 못한 API 경로의 200 응답, 비정상적인 대용량 요청 등을 확인하세요.
4. IOC(지표) 확인: 애플리케이션 디렉터리에 새로운 파일, 예상치 못한 프로세스, 알 수 없는 IP로의 아웃바운드 연결 등이 있는지 확인하세요.
5. 노출된 인스턴스가 최근 패치되지 않았다면 잠재적 침해로 간주 - 포렌식 조치를 수행한 후 프로덕션으로 복구하세요.
6. CISO에게 알림: 이는 계획된 유지보수가 아닌 인시던트 대응입니다.