패치 달력보다 KEV가 먼저다 · Artifactory, ScreenConnect, RouterOS 다섯 건 동시 등재를 방어자 눈으로 정리

이미지 출처: The Hacker News

CISA가 KEV(Known Exploited Vulnerabilities) 카탈로그를 처음 공개한 건 2021년 11월임. 그때만 해도 "또 하나의 취약점 목록"쯤으로 보는 사람이 많았는데, 몇 년 지나고 보니 이 목록은 "실제로 공격에 쓰이는 게 확인된 것"만 골라 담는 곳이라는 점에서 성격이 꽤 다름. CVSS 점수가 높다고 들어가는 게 아니라 실제 악용 증거가 있어야 올라감. 그래서 개인적으로는 패치 우선순위를 정할 때 벤더 권고문보다 KEV 업데이트를 먼저 보는 편임.

이번에 그 목록에 한 번에 다섯 건이 추가됐는데, 대상이 JFrog Artifactory, ConnectWise ScreenConnect, MikroTik RouterOS 세 제품군임. 하나는 개발 파이프라인의 창고, 하나는 원격 관리 도구, 하나는 네트워크 경계 장비. 공격자 입장에서 보면 "한 번 들어가면 멀리 갈 수 있는 자리"만 골라 놓은 조합이라 그냥 넘기기 어려웠음.

핵심 요약

• CISA가 Artifactory, ScreenConnect, RouterOS 관련 취약점 5건을 실제 악용 확인을 근거로 KEV에 추가함
• 세 제품 모두 인증·인가 경계가 무너지는 계열이라, 한 번 뚫리면 공급망·원격관리·네트워크 전체로 피해가 번질 수 있음
• 패치가 1순위지만, 외부 노출 차단과 접근 로그 점검을 같이 해야 "이미 들어온 흔적"까지 잡을 수 있음

1. 왜 이 세 제품이 같이 묶였을까

제품은 서로 다르지만 공통점이 분명함. 이전에 이 블로그에서 개별 글로 다뤘던 Artifactory 인증·인가 문제, ScreenConnect 인가 누락, RouterOS 인증 누락과 인자 처리 문제처럼, 이번 다섯 건도 대체로 "누가 요청했는지 확인하는 단계"가 약한 부분에 모여 있음.

• Artifactory: 빌드 서버와 개발자 PC가 의심 없이 받아 가는 패키지 저장소임. 여기에 쓰기 권한이 생기면 악성 아티팩트를 끼워 넣는 공급망 공격으로 바로 이어질 수 있음
• ScreenConnect: 원격 지원 도구라서 원래부터 "남의 PC를 조작하는 권한"을 가지고 있음. 권한 검사가 빠지면 공격자가 그 권한을 그대로 빌려 쓰는 셈임
• RouterOS: 경계 장비라서 트래픽 경로 변경, 프록시 설정, 봇넷 편입 같은 용도로 오래 악용돼 왔음. 한 번 장악되면 내부망을 넘어가는 발판이 됨

정리하면 세 개 다 "신뢰받는 자리에 있는 시스템"이라 피해가 해당 장비 하나로 끝나지 않는다는 점이 제일 무서운 부분인 것 같음.

2. KEV 등재가 실무에서 의미하는 것

미국 연방기관은 BOD 22-01에 따라 KEV에 오른 취약점을 정해진 기한 안에 조치해야 함. 보통 등재일로부터 몇 주 정도 기한이 주어짐. 우리나라 기업이야 이 지침을 따를 의무는 없지만, 실제로 공격이 돌고 있다는 신호라는 점은 똑같음.

• KEV 등재는 "이론상 위험"이 아니라 "지금 누군가 쓰고 있음"이라는 뜻임
• 등재 시점에는 이미 스캐닝이 돌고 있는 경우가 많아서, 패치 전 기간 동안의 로그를 같이 봐야 함
• 사내 패치 일정이 월 1회 정기 패치라면, KEV 항목은 그 주기와 별도로 긴급 처리 대상으로 빼는 게 맞다고 생각함

3. 제품별로 먼저 볼 곳

Artifactory

• 벤더 권고에 나온 수정 버전으로 올리는 게 가장 먼저임
• 관리 콘솔과 REST API가 인터넷에 직접 노출돼 있는지 확인하고, 가능하면 VPN이나 사내망 안으로 넣음
• 최근 생성된 액세스 토큰, 새로 생긴 관리자 계정, 권한이 바뀐 그룹이 있는지 감사 로그로 확인함
• 패키지 저장소에 예상하지 못한 업로드나 덮어쓰기가 있었는지 보고, 중요 아티팩트는 체크섬을 다시 확인함

ScreenConnect

• 온프레미스로 운영 중이면 패치 버전 적용 여부를 바로 확인함. 클라우드 버전은 벤더 쪽에서 조치하는 경우가 많지만 공지는 꼭 확인함
• 평소에 없던 세션, 업무 시간 외 접속, 낯선 IP에서 들어온 관리자 로그인을 우선 확인함
• 원격 도구를 통해 실행된 명령이나 파일 전송 기록이 남아 있다면 같이 검토함. 랜섬웨어 조직이 초기 침투 도구로 자주 쓰는 패턴이라 이 부분은 꼭 봐야 함

RouterOS

• RouterOS 펌웨어를 최신 안정 버전으로 올림
• WinBox, 웹 관리, API, SSH 같은 관리 서비스는 WAN 쪽에서 막고, 허용할 관리 IP를 명시적으로 지정함
• 사용자 목록, 예약된 스크립트(scheduler), 프록시·SOCKS 설정, 방화벽·NAT 규칙에 모르는 항목이 생겼는지 확인함
• 이미 장악된 정황이 있으면 설정만 지우지 말고 초기화 후 새로 구성하는 걸 개인적으로는 추천함. 지속성 장치가 어디 숨어 있을지 모르기 때문임

4. 탐지 관점에서 챙길 것

패치만 하고 끝내면 "패치 전에 들어온 사람"은 그대로 남아 있을 수 있음. 그래서 아래 정도는 같이 보는 게 좋다고 생각함.

• 인증 없이 성공한 요청: 로그인 기록 없이 관리 기능 API가 호출된 흔적이 있는지
• 권한 변화: 새 계정, 새 토큰, 그룹 변경처럼 사람이 직접 한 기억이 없는 변경
• 장비에서 바깥으로 나가는 연결: 라우터나 저장소 서버가 평소 통신하지 않던 외부 주소로 연결하는지
• 설정 변경 시각: 변경 관리 기록과 실제 설정 변경 시간이 맞지 않는 경우

SIEM을 쓰고 있다면 이 세 제품 로그가 제대로 수집되고 있는지부터 확인해 보길 추천함. 막상 사고가 났을 때 보면 경계 장비나 원격 관리 도구 로그는 수집 대상에서 빠져 있는 경우가 생각보다 많았음.

5. 마무리

다섯 건이 한꺼번에 올라오면 솔직히 어디서부터 손대야 할지 막막한 게 당연한 것 같음. 개인적으로는 외부에 노출된 것부터, 그리고 권한이 큰 것부터 순서를 정하는 게 제일 현실적이었음. 그 기준으로 보면 이번 세 제품은 대부분 환경에서 우선순위 상단에 들어갈 거라고 생각함.

운영 중인 환경에 이 중 하나라도 있다면 이번 주 안에 버전 확인이랑 노출 여부 점검만이라도 먼저 해보아요. 점검하다가 이상한 흔적을 찾았거나 우선순위를 다르게 잡은 분이 있다면 댓글로 공유해 주세요. 같이 정리해 보면 다음 등재 때는 훨씬 빨리 대응할 수 있을 것 같음.