CVE 데이터베이스CVE-2018-0147

최종 갱신 2026-06-17English Advisory →

CVE-2018-01479.8/CRITICALCISA KEV 등재CWE-20CWE-502

Cisco Secure Access Control System (ACS) Java 역직렬화 원격 코드 실행 취약점 (CVE-2018-0147)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

cisco

대상 컴포넌트 / 패키지

secure_access_control_system

권고문 발행일

2018-03-08

CVSS v3.1

9.8

CRITICAL

30일 악용확률

18.2%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Cisco Secure Access Control System (ACS) 5.8 Patch 9 미만 버전

파급 효과

인증되지 않은 원격 공격자가 조작된 Java 직렬화 객체를 전송하여 대상 시스템에서 root 권한으로 임의 명령을 실행할 수 있습니다

권장 조치

Cisco ACS 5.8 Patch 9 이상 버전으로 즉시 업그레이드하거나, 취약한 포트에 대한 네트워크 접근을 차단하십시오

영향받는 제품 및 버전 범위

Cisco Secure Access Control System (ACS) 5.8 Patch 9 미만의 모든 버전 (Cisco Bug ID: CSCvh25988)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Cisco 공식 권고에 따라 ACS 5.8 Patch 9 이상 버전으로 업그레이드를 수행해야 합니다. CLI 환경에서 패치를 적용하는 방법은 다음과 같습니다.

bash

# Cisco ACS CLI에 접속한 후 패치 파일 다운로드 및 적용
acs patch install acs-5.8.0.32.9-patch.tar.gpg repository <your_repository_name>

# 패치 적용 상태 및 버전 확인
show version

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, 방화벽 또는 인프라 장비의 ACL(Access Control List)을 설정하여 신뢰할 수 없는 IP 대역으로부터의 ACS 관리 인터페이스 및 Java 관련 포트 접근을 원천 차단해야 합니다.

bash

# Cisco ASA/Router에서 ACS 장비(예: 192.168.10.50)로의 비인가 접근 차단 예시
ip access-list extended BLOCK_UNTRUSTED_ACS
 deny tcp any host 192.168.10.50 eq 8000
 deny tcp any host 192.168.10.50 eq 1099
 permit ip any any

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

ACS 장비의 쉘 또는 로그 서버에서 비정상적인 Java 역직렬화 예외 발생 여부 및 비인가된 root 명령 실행 흔적을 모니터링하십시오.

bash

# ACS 로그 디렉토리 내에서 Java 역직렬화 오류 및 비정상적인 RMI/ObjectInputStream 호출 흔적 검색
grep -rn 'ObjectInputStream' /opt/CSCOacs/logs/
grep -ri 'java.io.InvalidClassException' /opt/CSCOacs/logs/

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

Cisco ACS의 Java 역직렬화 취약점은 실제 공격에 악용된 이력이 있으므로, 즉시 5.8 Patch 9 이상으로 업그레이드하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-0147)은 Cisco Secure Access Control System(ACS)에서 발생하는 심각한 Java 역직렬화(Deserialization) 취약점입니다. Cisco ACS 소프트웨어가 사용자로부터 전달받은 입력값의 유효성을 적절히 검증하지 않고 역직렬화(CWE-502)를 수행하는 과정에서 발생합니다. 공격자가 신뢰할 수 없는 Java 직렬화 객체를 전송할 경우, 애플리케이션 컨텍스트 내에서 임의의 클래스가 인스턴스화되어 악성 코드가 실행될 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Cisco ACS가 외부 통신을 위해 열어둔 특정 TCP 포트(예: RMI, JMX, 또는 HTTP 기반의 Java 직렬화 통신 채널)를 표적으로 삼습니다. 공격자는 Apache Commons Collections 등 공통 라이브러리의 가젯 체인(Gadget Chain)을 활용하여 악성 명령을 수행하도록 설계된 직렬화 객체 페이로드를 생성합니다. 이후 인증을 거치지 않은 상태에서 해당 페이로드를 대상 장비로 전송하면, ACS 서버가 이를 역직렬화하는 과정에서 공격자가 의도한 시스템 명령어가 백그라운드에서 자동으로 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

Cisco ACS는 네트워크 접근 제어(TACACS+/RADIUS)를 담당하는 핵심 보안 인프라 장비입니다. 본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 분류되었으며, CISA KEV(알려진 악용 취약점 목록)에 등재되어 실제 공격에 악용된 이력이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 대상 장비의 최고 관리자 권한(root)을 획득하여 전체 네트워크 장비의 인증 체계를 장악하고 내부망으로 침투할 수 있는 교두보를 마련하게 됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A vulnerability in Java deserialization used by Cisco Secure Access Control System (ACS) prior to release 5.8 patch 9 could allow an unauthenticated, remote attacker to execute arbitrary commands on an affected device. The vulnerability is due to insecure deserialization of user-supplied content by the affected software. An attacker could exploit this vulnerability by sending a crafted serialized Java object. An exploit could allow the attacker to execute arbitrary commands on the device with root privileges. Cisco Bug IDs: CSCvh25988.

http://www.securityfocus.com/bid/103328

출처: psirt@cisco.com · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1040463

출처: psirt@cisco.com · Third Party Advisory, VDB Entry

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180307-acs2

출처: psirt@cisco.com · Vendor Advisory

http://www.securityfocus.com/bid/103328

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1040463

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180307-acs2

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2018-0147)

FAQ

Q1. CVE-2018-0147 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-0147의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 18.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2018-0147에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 cisco이며, 대상 컴포넌트는 secure_access_control_system입니다. 상세 영향 범위: Cisco Secure Access Control System (ACS) 5.8 Patch 9 미만의 모든 버전 (Cisco Bug ID: CSCvh25988)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Cisco ACS 5.8 Patch 9 이상 버전으로 즉시 업그레이드하거나, 취약한 포트에 대한 네트워크 접근을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동