CVE-2020-0688 취약점은 Microsoft Exchange Server의 ASP.NET ViewState 서명에 쓰이는 validationKey와 decryptionKey가 모든 설치본에서 동일한 정적 값으로 생성되는 설계 오류에서 비롯됩니다. 공격자가 유효한 사용자 자격 증명으로 인증된 세션을 확보하고 특정 파라미터를 수집하면, 조작된 ViewState 페이로드를 전송해 서버에서 SYSTEM 권한으로 원격 코드 실행(RCE)을 수행할 수 있습니다.
CVE-2020-0688 공격 원리 및 RCE 영향도 분석
CVE-2020-0688의 핵심 기술 결함은 암호화 키의 무작위성 결여입니다. 본래 ASP.NET 애플리케이션은 ViewState 데이터의 무결성을 검증하고 기밀성을 유지하기 위해 서버마다 고유한 키를 생성해 사용해야 합니다. 하지만 Microsoft Exchange Server는 설치 과정에서 validationKey와 decryptionKey를 모든 서버에 동일하게 적용하는 실수를 범했습니다. 이 때문에 공격자는 대상 서버의 개별 키를 탈취할 필요 없이, 이미 알려진 정적 키로 서버가 신뢰하는 형태의 ViewState 페이로드를 임의로 만들 수 있습니다.
이 취약점이 특히 위험한 이유는 결과가 단순한 정보 유출에 그치지 않고 원격 코드 실행(RCE)으로 이어진다는 점입니다. Exchange Control Panel(ECP) 웹 애플리케이션은 윈도우 운영체제 최상위 권한인 SYSTEM 권한으로 구동됩니다. 공격자가 역직렬화 취약점을 이용해 임의 명령어를 실행하면, 별도의 권한 상승 과정 없이 즉시 서버 제어권을 획득합니다. 서버 내 모든 데이터에 접근하고 내부 네트워크 침투 거점으로 활용될 위험이 큽니다.
RCE 실현을 위한 구체적인 공격 메커니즘 및 단계
CVE-2020-0688로 시스템을 장악하려면 단순한 네트워크 접근 이상의 조건과 단계적 절차가 필요합니다. 우선 인증된 세션을 확보해야 합니다. 공격자는 Exchange Control Panel(ECP)에 로그인할 수 있는 유효한 자격 증명이 있어야 합니다. 다행히 관리자 권한까지는 필요 없습니다. 일반 사용자 계정만으로도 충분해, 피싱이나 무차별 대입 공격으로 획득한 낮은 수준의 계정으로도 서버 전체를 무너뜨릴 수 있습니다.
공격 프로세스는 다음과 같은 순서로 진행됩니다.
- 인증 및 파라미터 수집: 획득한 계정으로
/ecp/default.aspx페이지에 접근합니다. 이후 브라우저 개발자 도구로 인증된 세션을 나타내는ASP.NET SessionId(ViewStateUserKey로 활용)와 페이지 소스 숨겨진 필드의__VIEWSTATEGENERATOR값을 수집합니다. - 악성 페이로드 생성: 수집한 세션 정보와 공개된 정적
validationKey, SHA1 알고리즘을 결합해 악성 직렬화 객체를 만듭니다. 이 과정에서ysoserial.net같은 도구로 실행하려는 임의 명령어(예: 리버스 쉘 실행)를 페이로드에 삽입하며, 전송을 위해 URL 인코딩을 거칩니다. - 페이로드 전송 및 역직렬화: 생성한 악성
__VIEWSTATE값을 포함한 HTTP 요청을/ecp/default.aspx경로로 보냅니다. 서버는 수신한 ViewState 데이터의 유효성을 검사하고자 역직렬화(Deserialization)를 수행합니다. - 코드 실행 및 권한 획득: 역직렬화 과정에서 악성 객체가 인스턴스화되며 내장 명령어가 실행됩니다. ECP 프로세스가 SYSTEM 권한으로 작동하므로, 실행된 명령어 역시 최상위 권한으로 수행되어 서버가 완전히 장악됩니다.
취약점 노출 현황 및 실제 위협 데이터
CVE-2020-0688은 이론적 취약점을 넘어 실제 환경에서 광범위하게 악용되고 있습니다. Rapid7이 2020년 4월 6일에 실시한 분석 결과, 전 세계 측정 대상 Exchange 서버 433,464대 중 약 82.5%인 357,629대가 이 취약점에 노출된 것으로 확인되었습니다. 대다수 기업이 패치를 적용하지 않은 채 위험하게 서버를 운영 중인 셈입니다.
또한 고도의 기술력을 갖춘 공격 집단이 이를 빠르게 이용했습니다. Volexity 보고에 따르면, Microsoft가 2020년 2월 패치를 공개한 후 불과 2주 만에 고위험 지속적 위협(APT) 그룹의 악용 사례가 관찰되었습니다. 이들은 EWS(Exchange Web Services)를 통한 자격 증명 무차별 대입 공격과 CVE-2020-0688 취약점을 병행해 타겟 시스템에 침투했습니다. 2020년 3월 4일에는 Metasploit 프레임워크에 공격 모듈이 추가되었고, GitHub에 CVE-2020-0688.ps1 같은 자동화 스크립트가 공개되면서 공격 진입 장벽이 매우 낮아졌습니다.
| 구분 | 상세 내용 | 비고 |
|---|---|---|
| 영향을 받는 버전 | Exchange Server 2010, 2013, 2016, 2019 | 전 버전 해당 |
| 위험도 평가 | Microsoft: ‘중요(Important)’, Exploit Index 1 | 악용 가능성 매우 높음 |
| 최종 실행 권한 | SYSTEM 권한 | 최상위 관리자 권한 |
| 핵심 취약점 유형 | 부적절한 암호화 키 관리 및 역직렬화 취약점 | Static Key 사용 |
침해 사고 탐지 및 기술적 완화 조치
보안 운영자(SOC)는 서버 응답 결과만으로 공격 여부를 판단해서는 안 됩니다. ZDI의 데모 분석을 보면, 공격 페이로드가 성공해 SYSTEM 권한으로 프로세스가 구동되어도 웹 서버는 “500 Unexpected Error”를 반환하는 경우가 많습니다. HTTP 상태 코드 500이 발생했을 때 이를 단순 오류로 치부하지 말고 상세 로그를 분석해야 합니다.
탐지를 위한 구체적인 지표는 다음과 같습니다. 우선 \\Program Files\\Exchange Server\\<version>\\Logging\\ECP\\ServerException 경로의 로그 파일에서 “The serialized data is invalid” 또는 “Exception has been thrown by the target of an invocation” 메시지가 빈번한지 확인합니다. 또한 윈도우 이벤트 뷰어의 응용 프로그램 로그에서 원본이 “MSExchange Control Panel”이고 이벤트 ID가 4인 오류를 추적해, URL 내에 비정상적으로 긴 __VIEWSTATE 매개변수가 포함되어 있는지 전수 조사해야 합니다.
근본적인 해결책과 완화 방법은 다음과 같습니다.
- 최신 보안 업데이트 적용: 2020년 2월 11일 Microsoft가 배포한 보안 업데이트를 즉시 적용해 정적 키 생성 방식을 수정합니다.
- 네트워크 접근 제어 강화: IIS 설정을 통해 ECP 디렉토리에 대한 외부 인터넷 접근을 전면 차단하거나, 신뢰할 수 있는 특정 내부 IP 주소만 접근 가능하도록 ACL을 설정합니다.
- 계정 보안 강화: 자격 증명 탈취로 인한 인증 세션 확보를 막으려면 모든 계정에 다중 인증(MFA)을 도입하고 정기적인 비밀번호 변경 정책을 강제합니다.
결론 및 대응 요약
CVE-2020-0688은 정적 키 사용이라는 설계 결함과 역직렬화 취약점이 결합되어, 일반 사용자 계정만으로도 서버 SYSTEM 권한을 탈취할 수 있는 치명적인 RCE 취약점입니다. 82.5%라는 높은 노출 비율과 APT 그룹의 실제 악용 사례, Metasploit 같은 자동화 도구의 보급은 이 위협이 현재 진행형임을 보여줍니다. 시스템 관리자는 즉시 보안 패치 적용 여부를 확인하고, ECP 접근 제어와 로그 모니터링으로 추가 침해 사고 가능성을 차단하십시오. 지금 즉시 인프라 내 Exchange 서버 패치 버전을 점검하고 보안 설정을 강화하시기 바랍니다.