CVE 데이터베이스CVE-2018-11138

최종 갱신 2026-08-13English Advisory →

CVE-2018-111389.8/CRITICALCISA KEV 등재CWE-78CWE-78

Quest KACE System Management Appliance 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2018-11138)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

quest

대상 컴포넌트 / 패키지

kace system management appliance

권고문 발행일

2018-05-31

CVSS v3.1

9.8

CRITICAL

30일 악용확률

91.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Quest KACE System Management Appliance (SMA) 8.0.318 및 이전 버전

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 전송하여 대상 시스템에서 최고 권한으로 임의의 OS 명령을 실행할 수 있습니다

권장 조치

제조사 공식 패치를 즉시 적용하고, 외부 인터넷으로부터의 관리 인터페이스 접근을 차단하십시오

영향받는 제품 및 버전 범위

Quest KACE System Management Appliance (SMA) 8.0.318 및 이전 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Quest 공식 지원 포털을 통해 최신 보안 패치가 적용된 버전으로 업그레이드를 수행해야 합니다. KACE SMA 관리 콘솔에 접속하여 아래와 같이 업데이트를 진행하십시오.

bash

# KACE SMA CLI를 통한 업데이트 확인 및 적용 (관리자 권한 필요)
# 주의: 실제 운영 환경에 따라 CLI 명령어 세트가 다를 수 있으므로 웹 콘솔 업데이트를 권장합니다.
update check
update apply

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 방화벽 또는 웹 애플리케이션 방화벽(WAF)을 사용하여 외부 인터넷에서 KACE SMA 관리 인터페이스 및 취약한 엔드포인트('/common/download_agent_installer.php')로의 접근을 원천 차단해야 합니다.

nginx

# Nginx 리버스 프록시 또는 WAF를 사용하는 경우 취약한 경로 차단 설정 예시
server {
    listen 80;
    server_name kace.local;

    location /common/download_agent_installer.php {
        # 내부 신뢰할 수 있는 IP 대역만 허용하고 나머지는 차단
        allow 10.0.0.0/8;
        allow 192.168.0.0/16;
        deny all;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 액세스 로그를 분석하여 '/common/download_agent_installer.php' 경로에 대한 비정상적인 요청 및 셸 메타문자가 포함된 파라미터 인입 여부를 점검합니다.

bash

# Apache/Nginx 액세스 로그에서 취약점 공격 시도 흔적 검색
grep -i 'download_agent_installer.php' /var/log/nginx/access.log /var/log/httpd/access_log | grep -E '(\||;|\&|\`|\$)'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 악용이 확인된 취약점이므로, 외부 노출을 즉시 차단하고 최신 안전 버전으로 신속히 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-11138)은 Quest KACE System Management Appliance(SMA)의 '/common/download_agent_installer.php' 스크립트에서 발생합니다. 해당 스크립트는 익명 사용자(인증되지 않은 외부 공격자)가 세션 검증 없이 접근할 수 있도록 설계되어 있습니다. 입력 매개변수에 대한 불충분한 검증 및 필터링으로 인해, 공격자가 전달한 악성 입력값이 내부 시스템 셸 명령어로 직접 전달되어 실행되는 OS 커맨드 인젝션(CWE-78) 취약점이 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 별도의 로그인 과정 없이 대상 KACE SMA 장비의 '/common/download_agent_installer.php' 엔드포인트에 직접 HTTP GET 또는 POST 요청을 전송합니다. 이때 에이전트 설치 프로그램 다운로드 프로세스를 처리하는 매개변수 내부에 셸 메타문자(예: ';', '&&', '`' 등)와 함께 실행하고자 하는 임의의 OS 명령어를 삽입합니다. 시스템은 이 입력을 적절히 이스케이프 처리하지 않고 시스템 셸(sh/bash)을 통해 실행하므로, 공격자는 웹 서버 권한(또는 루트 권한)으로 원격 코드 실행(RCE)을 달성하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

KACE SMA는 기업 내 수많은 엔드포인트와 자산을 관리하는 중앙 통제 솔루션입니다. 따라서 본 취약점이 악용될 경우, 공격자는 관리 서버의 제어권을 완전히 탈취할 수 있습니다. 이는 내부망 침투를 위한 교두보로 활용될 수 있으며, 관리 대상 엔드포인트 전체에 악성코드를 배포하거나 기업 기밀 데이터를 유출하는 심각한 비즈니스 중단 사태로 이어질 수 있습니다. 본 취약점은 실제 공격에 악용된 이력이 존재하여 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으므로 신속한 조치가 필수적입니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The '/common/download_agent_installer.php' script in the Quest KACE System Management Appliance 8.0.318 is accessible by anonymous users and can be abused to execute arbitrary commands on the system.

https://www.coresecurity.com/advisories/quest-kace-system-management-appliance-multiple-vulnerabilities

출처: cve@mitre.org · Exploit, Technical Description, Third Party Advisory

https://www.exploit-db.com/exploits/44950/

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

https://www.coresecurity.com/advisories/quest-kace-system-management-appliance-multiple-vulnerabilities

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Technical Description, Third Party Advisory

https://www.exploit-db.com/exploits/44950/

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-11138

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2018-11138)

FAQ

Q1. CVE-2018-11138 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-11138의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 91.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.