Fortinet FortiOS 및 FortiADC LDAP 자격 증명 탈취 취약점 (CVE-2018-13374) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTFortiOS 6.0.2, 5.6.7 이하 버전 및 FortiADC 6.1.0, 6.0.0~6.0.1, 5.4.0~5.4.4 버전을 사용하는 엔터프라이즈 네트워크 환경
인증된 공격자가 LDAP 서버 연결 테스트 요청을 악의적인 LDAP 서버로 우회시켜, FortiGate에 설정된 LDAP 관리자 로그인 자격 증명을 평문 또는 복호화 가능한 형태로 탈취할 수 있습니다
제조사 공식 권고에 따라 FortiOS 및 FortiADC를 최신 패치 버전으로 업그레이드하고, 관리자 페이지에 대한 IP 기반 접근 제어(ACL)를 강화하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Fortinet 공식 패치가 적용된 버전으로 업그레이드를 수행해야 합니다. CLI를 통해 현재 버전을 확인하고 펌웨어 업그레이드를 진행하십시오.
# FortiOS 현재 버전 확인
get system status
# TFTP 서버를 통한 안전한 펌웨어 업그레이드 예시 (FortiOS 6.0.3 이상으로 업그레이드 권장)
execute restore image tftp FGT_60-v6-build1639-FORTINET.out 192.168.1.992. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 관리자 웹 UI 및 CLI에 접근할 수 있는 신뢰된 IP 대역을 제한하여 공격 표면을 최소화하십시오.
# 관리자 접근 제어(Local In Policy) 설정을 통한 신뢰된 서브넷 지정
config system admin
edit 'admin'
set trusthost1 10.10.10.0 255.255.255.0
set trusthost2 192.168.10.0 255.255.255.0
next
end3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
장비의 이벤트 로그에서 비정상적인 LDAP 테스트 요청이나 외부 IP로의 아웃바운드 LDAP(TCP 389, 636) 연결 시도가 있었는지 점검하십시오.
# LDAP 설정 변경 및 테스트 관련 로그 필터링 조회
show log syslog filter
execute log filter category 1
execute log filter field msg 'LDAP'
execute log display반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2018-13374)은 Fortinet FortiOS 및 FortiADC의 LDAP 구성 요소 내 부적절한 접근 제어(CWE-732)로 인해 발생합니다. 시스템 관리자 인터페이스에서 제공하는 'LDAP 연결 테스트' 기능은 설정된 LDAP 서버와의 통신 상태를 검증하는 데 사용됩니다. 그러나 이 과정에서 요청 대상 서버의 주소를 검증하지 않고 임의의 외부 IP로 변경할 수 있도록 허용하는 설계상 결함이 존재합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
최소한의 읽기 권한 또는 시스템 설정 변경 권한을 가진 공격자는 LDAP 연결 테스트 API 요청을 가로채거나 직접 호출합니다. 이때 목적지 LDAP 서버 주소를 공격자가 제어하는 악성 LDAP 서버(Rogue LDAP Server)의 IP로 변경하여 전송합니다. FortiGate/FortiADC 장비는 해당 요청을 처리하기 위해 공격자의 서버로 LDAP 바인드(Bind) 요청을 전송하게 되며, 이 과정에서 설정에 저장되어 있던 LDAP 관리자 계정(Bind DN)의 비밀번호가 평문 또는 취약한 인코딩 형태로 공격자에게 노출됩니다.
3. 비즈니스 및 인프라 파급 영향
LDAP 자격 증명이 탈취될 경우, 공격자는 기업 내부 Active Directory(AD) 또는 LDAP 디렉터리 서비스에 직접 접근할 수 있는 권한을 획득하게 됩니다. 이는 내부 임직원의 개인정보, 시스템 계정 정보 탈취로 이어지며, 궁극적으로는 내부망 전체로 침투 범위를 넓히는 횡적 이동(Lateral Movement)의 교두보가 될 수 있어 비즈니스 인프라에 치명적인 위협을 초래합니다.
공식 보안 권고문 및 참조 링크
A Improper Access Control in Fortinet FortiOS 6.0.2, 5.6.7 and before, FortiADC 6.1.0, 6.0.0 to 6.0.1, 5.4.0 to 5.4.4 allows attacker to obtain the LDAP server login credentials configured in FortiGate via pointing a LDAP server connectivity test request to a rogue LDAP server instead of the configured one.
자주 묻는 실무 질문 (FAQ — CVE-2018-13374)
FAQQ1. CVE-2018-13374 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2018-13374의 기본 점수는 CVSS 4.3 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 38.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2018-13374에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 fortinet이며, 대상 컴포넌트는 fortios, fortiadc입니다. 상세 영향 범위: FortiOS 6.0.2 이하, 5.6.7 이하 버전 / FortiADC 6.1.0, 6.0.0 ~ 6.0.1, 5.4.0 ~ 5.4.4 버전
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 제조사 공식 권고에 따라 FortiOS 및 FortiADC를 최신 패치 버전으로 업그레이드하고, 관리자 페이지에 대한 IP 기반 접근 제어(ACL)를 강화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2018-13374 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (fortinet)
동일 카테고리 전체 보기 →포티넷 FortiOS 및 FortiProxy 경로 탐색(Path Traversal) 취약점 보안 권고 (CVE-2025-61624)
[영향 대상] FortiOS(6.4~7.6), FortiPAM(1.0~1.7), FortiProxy(7.0~7.6), FortiSwitchManager(7.0~7.2) 등 포티넷 주요 솔루션
Fortinet FortiOS 민감 정보 노출 및 심볼릭 링크 패치 우회 취약점 (CVE-2025-68686)
[영향 대상] Fortinet FortiOS 7.6.0~7.6.1, 7.4.0~7.4.6, 7.2 전 버전, 7.0 전 버전, 6.4 전 버전
포티넷 FortiMail 경로 탐색 취약점 (CVE-2026-104286) 보안 권고 - 인증되지 않은 임의 파일 쓰기 및 RCE 위험
[영향 대상] FortiMail 8.0.0~8.0.1, 7.6.0~7.6.6, 7.4.0~7.4.8, 7.2.0~7.2.9 및 7.0 전 버전
Fortinet FortiSandbox OS 명령 주입 취약점 (CVE-2026-25089) 긴급 보안 권고
[영향 대상] Fortinet FortiSandbox (5.0.0~5.0.5, 4.4.0~4.4.8, 4.2 전 버전), FortiSandbox Cloud 및 PaaS (5.0.4~5.0.5)
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.