CVE 데이터베이스CVE-2020-0688

최종 갱신 2026-06-17English Advisory →

CVE-2020-06888.8/HIGHCISA KEV 등재CWE-287CWE-287

Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2020-0688)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

exchange_server

권고문 발행일

2020-02-11

CVSS v3.1

8.8

HIGH

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Exchange Server 2010, 2013, 2016, 2019 버전

파급 효과

인증된 공격자가 고정된 암호화 키를 악용하여 Exchange Control Panel(ECP)에서 임의의 .NET 역직렬화 코드를 실행하고 시스템 권한(SYSTEM)을 획득할 수 있습니다

권장 조치

Microsoft 공식 누적 업데이트(CU) 및 보안 패치를 즉시 적용하고, 기본 ViewState 암호화 키를 재설정해야 합니다

영향받는 제품 및 버전 범위

Microsoft Exchange Server 2010 Service Pack 3, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019 전 범위 (패치 미적용 시스템)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 Microsoft 공식 보안 업데이트를 적용하는 것입니다. Exchange 관리자 셸(EMS) 또는 PowerShell을 통해 현재 버전을 확인하고 최신 누적 업데이트(CU)를 설치하십시오.

powershell

# Exchange Server 버전 및 빌드 번호 확인
Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

# 최신 보안 패치 적용 후 IIS 서비스 재시작
iisreset /noforce

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 외부망에서 Exchange Control Panel(/ecp) 경로로의 직접적인 접근을 차단하는 IIS URL 재작성(URL Rewrite) 규칙을 적용하여 공격 표면을 최소화해야 합니다.

xml

<!-- IIS web.config 내 <system.webServer> 섹션에 추가하여 외부 ECP 접근 차단 -->
<rewrite>
  <rules>
    <rule name='Block External ECP' stopProcessing='true'>
      <match url='^ecp/(.*)' />
      <conditions>
        <add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
        <add input='{REMOTE_ADDR}' pattern='^10\.' negate='true' />
      </conditions>
      <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
    </rule>
  </rules>
</rewrite>

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

IIS 로그에서 ECP 페이지(/ecp/default.aspx)에 대한 비정상적인 ViewState 전송 흔적 및 __VIEWSTATEGenerator 매개변수가 포함된 의심스러운 GET/POST 요청을 탐지하는 PowerShell 스크립트입니다.

powershell

# IIS 로그 디렉터리에서 CVE-2020-0688 익스플로잇 시도 흔적 검색
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*'
Select-String -Path $LogPath -Pattern '/ecp/default.aspx' | Where-Object { $_ -match '__VIEWSTATE' } | Select-Object -First 20

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

Exchange Server의 ECP 외부 노출을 최소화하고, 하드코딩된 ViewState 키를 무효화하기 위해 즉시 최신 Microsoft 보안 패치를 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점은 Microsoft Exchange Server의 ECP(Exchange Control Panel) 구성 요소가 메모리 내 객체를 안전하지 않게 처리할 때 발생하는 원격 코드 실행(RCE) 취약점입니다. 구체적으로는 Exchange 설치 시 모든 서버에 동일하게 하드코딩되어 생성되는 정적 검증 키(validationKey)와 암호화 키(decryptionKey)가 IIS web.config 파일에 저장되는 설계 결함에서 비롯됩니다. 이로 인해 공격자는 서버 고유의 비밀 키를 알지 못해도 유효한 ASP.NET ViewState를 위조할 수 있게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 일반 사서함 계정(낮은 권한)으로 Exchange Control Panel(ECP)에 로그인하여 세션을 획득합니다. 이후 하드코딩된 정적 키를 사용하여 악성 .NET 역직렬화 페이로드(예: ObjectDataProvider를 활용한 Ysoserial.net 페이로드)가 포함된 위조된 ViewState 매개변수를 생성합니다. 공격자가 이 위조된 ViewState를 ECP 페이지(/ecp/default.aspx)에 HTTP GET/POST 요청으로 전송하면, 서버는 이를 신뢰할 수 있는 데이터로 판단하여 역직렬화 프로세스를 수행하고, 결과적으로 IIS 작업자 프로세스(w3wp.exe)의 권한(일반적으로 SYSTEM)으로 임의의 OS 명령어가 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며, EPSS 점수가 0.9996에 달할 정도로 실제 야생(In-the-Wild)에서 매우 빈번하게 악용되는 치명적인 취약점입니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 기업의 메일 서버 전체를 장악하여 이메일 데이터를 탈취하는 것은 물론, Active Directory(AD) 도메인 컨트롤러로의 횡적 이동(Lateral Movement)을 위한 교두보로 활용할 수 있어 비즈니스 연속성에 치명적인 타격을 입힙니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A remote code execution vulnerability exists in Microsoft Exchange software when the software fails to properly handle objects in memory, aka 'Microsoft Exchange Memory Corruption Vulnerability'.

http://packetstormsecurity.com/files/156592/Microsoft-Exchange-2019-15.2.221.12-Remote-Code-Execution.html

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/156620/Exchange-Control-Panel-Viewstate-Deserialization.html

출처: secure@microsoft.com · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688

출처: secure@microsoft.com · Patch, Vendor Advisory

https://www.zerodayinitiative.com/advisories/ZDI-20-258/

출처: secure@microsoft.com · Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/156592/Microsoft-Exchange-2019-15.2.221.12-Remote-Code-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

http://packetstormsecurity.com/files/156620/Exchange-Control-Panel-Viewstate-Deserialization.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2020-0688)

FAQ

Q1. CVE-2020-0688 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-0688의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-0688에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 exchange_server입니다. 상세 영향 범위: Microsoft Exchange Server 2010 Service Pack 3, Exchange Server 2013, Exchange Server 2016, Exchange Server 2019 전 범위 (패치 미적용 시스템)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 누적 업데이트(CU) 및 보안 패치를 즉시 적용하고, 기본 ViewState 암호화 키를 재설정해야 합니다 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동