CVE 데이터베이스CVE-2019-11580

최종 갱신 2026-06-17English Advisory →

CVE-2019-115809.8/CRITICALCISA KEV 등재

Atlassian Crowd pdkinstall 개발 플러그인 활성화로 인한 원격 코드 실행(RCE) 취약점 (CVE-2019-11580)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

atlassian

대상 컴포넌트 / 패키지

crowd, crowd_data_center

권고문 발행일

2019-06-03

CVSS v3.1

9.8

CRITICAL

30일 악용확률

95.4%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Atlassian Crowd 및 Crowd Data Center 2.1.0 이상 3.4.4 미만의 특정 마이너 버전 대역

파급 효과

인증되지 않은 원격 공격수가 임의의 악성 플러그인을 업로드 및 실행하여 대상 서버의 완전한 제어권을 획득할 수 있습니다

권장 조치

즉시 최신 패치 버전(3.0.5, 3.1.6, 3.2.8, 3.3.5, 3.4.4 이상)으로 업그레이드하거나 pdkinstall 플러그인 진입점을 차단하십시오

영향받는 제품 및 버전 범위

Atlassian Crowd 및 Crowd Data Center 2.1.0 이상 버전 중 아래 범위에 해당하는 시스템: - 2.1.0 이상 ~ 3.0.5 미만 - 3.1.0 이상 ~ 3.1.6 미만 - 3.2.0 이상 ~ 3.2.8 미만 - 3.3.0 이상 ~ 3.3.5 미만 - 3.4.0 이상 ~ 3.4.4 미만

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Atlassian 공식 권고에 따라 사용 중인 마이너 버전 대역에 맞는 최신 패치 버전으로 즉시 업그레이드를 수행해야 합니다.

bash

# 1. 현재 실행 중인 Crowd 서비스 중지
sudo systemctl stop crowd

# 2. 최신 안전 버전 다운로드 및 압축 해제 (예: 3.4.4 버전)
wget https://www.atlassian.com/software/crowd/downloads/binary/atlassian-crowd-3.4.4.tar.gz
tar -xzf atlassian-crowd-3.4.4.tar.gz -C /opt/atlassian/

# 3. 기존 설정 파일(crowd.init.properties 등) 마이그레이션 후 서비스 재시작
sudo systemctl start crowd

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 업그레이드가 어려운 경우, Crowd 설치 디렉터리 내에서 취약한 pdkinstall 플러그인 파일을 직접 제거하거나 웹 서버/WAF 단에서 해당 URL 경로로의 접근을 원천 차단해야 합니다.

bash

# Crowd 설치 경로에서 pdkinstall JAR 파일 검색 및 제거
find /opt/atlassian/crowd -name 'pdkinstall*.jar' -exec rm -f {} \;

# Nginx 리버스 프록시를 사용하는 경우, pdkinstall 관련 API 경로 차단 설정 추가
# /etc/nginx/conf.d/crowd.conf 내 server 블록에 추가:
# location ~* /plugins/1.0/ {
#     deny all;
#     return 403;
# }

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Crowd의 액세스 로그를 분석하여 pdkinstall 엔드포인트에 대한 비정상적인 POST 요청 및 플러그인 업로드 시도가 있었는지 점검합니다.

bash

# 1. Crowd 액세스 로그에서 pdkinstall 호출 흔적 및 HTTP 200/204 성공 응답 확인
grep -i 'pdkinstall' /var/log/atlassian/crowd/atlassian-crowd-access.log
grep -E '/(admin/)?plugins/1.0' /var/log/atlassian/crowd/atlassian-crowd-access.log

# 2. 시스템 내 비정상적으로 생성된 OSGi 플러그인 캐시 디렉터리 점검
find /opt/atlassian/crowd/apache-tomcat/temp/ -name '*.jar'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

Atlassian Crowd의 pdkinstall 취약점은 실제 악용 사례가 보고된 고위험 취약점이므로, 즉시 패치 버전을 적용하거나 pdkinstall 플러그인 파일을 삭제하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Atlassian Crowd 및 Crowd Data Center의 상용 릴리즈 빌드에 개발 및 테스트 목적으로만 사용되어야 하는 'pdkinstall' 플러그인이 비활성화되지 않고 기본 활성화된 상태로 배포되어 발생합니다. 이 플러그인은 외부에서 새로운 플러그인(JAR 파일)을 동적으로 설치할 수 있는 엔드포인트를 제공하며, 적절한 인증 및 인가 검증 절차가 결여되어 있어 외부 공격자가 접근할 수 있는 치명적인 보안 결함을 내포하고 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Crowd 서버의 '/crowd/admin/plugins/1.0/' 또는 '/admin/plugins/1.0/' 경로로 멀티파트 HTTP POST 요청을 전송합니다. 이 요청에 악성 Java 코드가 포함된 OSGi 번들 플러그인(JAR)을 첨부하면, pdkinstall 서블릿이 이를 정상적인 개발용 플러그인으로 인식하여 시스템에 즉시 로드하고 실행합니다. 이 과정에서 어떠한 사용자 인증이나 관리자 세션 검증도 요구되지 않으므로, 외부의 비인증 공격자가 원격에서 임의의 시스템 명령을 실행할 수 있는 완전한 RCE(Remote Code Execution) 시나리오가 성립됩니다.

3. 비즈니스 및 인프라 파급 영향

Atlassian Crowd는 기업 내 다수의 애플리케이션과 인프라에 대한 단일 인증(SSO) 및 사용자 디렉터리 관리를 담당하는 핵심 인증 허브입니다. 따라서 본 취약점을 통해 Crowd 서버가 침해당할 경우, 공격자는 내부 디렉터리에 저장된 모든 사용자 자격 증명 및 연동된 타 시스템(Jira, Confluence, Bitbucket 등)의 접근 권한을 탈취할 수 있습니다. 이는 기업 전체 인프라의 도미노식 침해로 이어질 수 있는 극도로 위험한 비즈니스 중단 및 데이터 유출 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Atlassian Crowd and Crowd Data Center had the pdkinstall development plugin incorrectly enabled in release builds. Attackers who can send unauthenticated or authenticated requests to a Crowd or Crowd Data Center instance can exploit this vulnerability to install arbitrary plugins, which permits remote code execution on systems running a vulnerable version of Crowd or Crowd Data Center. All versions of Crowd from version 2.1.0 before 3.0.5 (the fixed version for 3.0.x), from version 3.1.0 before 3.1.6 (the fixed version for 3.1.x), from version 3.2.0 before 3.2.8 (the fixed version for 3.2.x), from version 3.3.0 before 3.3.5 (the fixed version for 3.3.x), and from version 3.4.0 before 3.4.4 (the fixed version for 3.4.x) are affected by this vulnerability.

http://packetstormsecurity.com/files/163810/Atlassian-Crowd-pdkinstall-Remote-Code-Execution.html

출처: security@atlassian.com · Exploit, Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/108637

출처: security@atlassian.com · Broken Link

https://jira.atlassian.com/browse/CWD-5388

출처: security@atlassian.com · Issue Tracking, Mitigation, Vendor Advisory

http://packetstormsecurity.com/files/163810/Atlassian-Crowd-pdkinstall-Remote-Code-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/108637

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link

https://jira.atlassian.com/browse/CWD-5388

출처: af854a3a-2127-422b-91ae-364da2661108 · Issue Tracking, Mitigation, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2019-11580)

FAQ

Q1. CVE-2019-11580 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-11580의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 95.4%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-11580에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 atlassian이며, 대상 컴포넌트는 crowd, crowd_data_center입니다. 상세 영향 범위: Atlassian Crowd 및 Crowd Data Center 2.1.0 이상 버전 중 아래 범위에 해당하는 시스템: - 2.1.0 이상 ~ 3.0.5 미만 - 3.1.0 이상 ~ 3.1.6 미만 - 3.2.0 이상 ~ 3.2.8 미만 - 3.3.0 이상 ~ 3.3.5 미만 - 3.4.0 이상 ~ 3.4.4 미만

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 즉시 최신 패치 버전(3.0.5, 3.1.6, 3.2.8, 3.3.5, 3.4.4 이상)으로 업그레이드하거나 pdkinstall 플러그인 진입점을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동