CVE 데이터베이스CVE-2020-3952

최종 갱신 2026-06-17English Advisory →

CVE-2020-39529.8/CRITICALCISA KEV 등재CWE-306CWE-306

VMware vCenter Server vmdir 인증 우회 및 원격 코드 실행 취약점 (CVE-2020-3952) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

vcenter_server

권고문 발행일

2020-04-10

CVSS v3.1

9.8

CRITICAL

30일 악용확률

90.4%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

내장형 또는 외장형 PSC(Platform Services Controller)가 포함된 VMware vCenter Server 6.7 버전 (업그레이드 설치된 환경)

파급 효과

네트워크 접근이 가능한 공격자가 vmdir(Directory Service)의 접근 제어 미흡을 악용하여 인증 없이 디렉터리 데이터를 탈취하거나 관리자 권한을 획득할 수 있습니다

권장 조치

vCenter Server 버전을 6.7 Update 3f 이상으로 즉시 업그레이드하고, vmdir 서비스에 대한 네트워크 접근을 제한하십시오

영향받는 제품 및 버전 범위

VMware vCenter Server 6.7 (이전 버전에서 6.7로 업그레이드된 환경에서 vmdir이 배포된 경우에 한함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

VMware 공식 패치가 적용된 vCenter Server 6.7 Update 3f (6.7.0.44000) 이상 버전으로 업그레이드를 수행해야 합니다. vCenter Server Appliance(VCSA) 셸에서 아래 명령어를 사용하여 패치를 적용할 수 있습니다.

bash

# vCenter Appliance 패치 리포지토리 확인 및 업데이트 설치
software-packages install --url --acceptEEULA

# 또는 ISO 이미지를 마운트한 후 로컬 패치 적용
software-packages install --iso --acceptEEULA

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 방화벽 및 네트워크 보안 그룹을 설정하여 vmdir 포트(TCP 389, 636)에 대한 외부 접근을 차단하고 신뢰할 수 있는 관리 대역(Bastion Host 등)에서만 접근할 수 있도록 제한해야 합니다.

bash

# iptables를 이용한 vmdir LDAP 포트 외부 접근 차단 예시 (vCenter OS 내부)
# 신뢰할 수 있는 관리자 IP(예: 10.0.0.50)만 허용하고 나머지는 차단
iptables -A INPUT -p tcp -s 10.0.0.50 --dport 389 -j ACCEPT
iptables -A INPUT -p tcp -s 10.0.0.50 --dport 636 -j ACCEPT
iptables -A INPUT -p tcp --dport 389 -j DROP
iptables -A INPUT -p tcp --dport 636 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

vCenter Server가 본 취약점에 노출되어 있는지 확인하기 위해 vmdir 로그(/var/log/vmware/vmdir/vmdird-syslog.log)에서 비정상적인 익명 바인딩 및 쓰기 시도를 점검해야 합니다.

bash

# vmdir 로그에서 익명 바인딩 후 쓰기/수정 시도 흔적 검색
grep -i 'Anonymous Bind' /var/log/vmware/vmdir/vmdird-syslog.log
grep -i 'Modify Request' /var/log/vmware/vmdir/vmdird-syslog.log

# 현재 vCenter Server 빌드 버전 확인
com.vmware.appliance.version1.system.version.get

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

vCenter Server 6.7 환경을 운영 중인 조직은 즉시 vCenter Server 6.7 Update 3f 이상으로 업그레이드하고, 외부망에서 vmdir 포트(389, 636)로의 접근을 전면 차단하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-3952)은 VMware vCenter Server의 핵심 구성 요소인 vmdir(VMware Directory Service)에서 발생하는 심각한 인증 우회 취약점입니다. vmdir은 vSphere 환경 내에서 인증, 라이선스, 사용자 관리 등을 담당하는 LDAP 디렉터리 서비스입니다. 이전 버전(예: 6.0 또는 6.5)에서 6.7 버전으로 업그레이드된 환경에서 특정 조건 하에 vmdir이 LDAP 요청에 대한 접근 제어 메커니즘을 올바르게 구현하지 않아 발생합니다. 이로 인해 유효한 자격 증명이 없는 익명의 공격자가 디렉터리 서비스에 접근할 수 있는 보안 허점(CWE-306)이 노출됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 vmdir 서비스가 사용하는 TCP 포트 389(LDAP) 또는 636(LDAPS)으로 직접 연결을 시도합니다. 정상적인 환경에서는 LDAP 바인딩 및 쿼리 수행 시 적절한 인증이 요구되지만, 취약한 vmdir 구현체는 인증 단계를 거치지 않은 익명 바인딩(Anonymous Bind) 상태에서도 디렉터리 스키마 및 데이터를 수정하거나 추가할 수 있도록 허용합니다. 공격자는 이를 악용하여 vmdir 내에 새로운 관리자 계정을 임의로 생성하거나, 기존 vSphere Administrators 그룹의 멤버십을 조작하여 vCenter 전체에 대한 완전한 관리자 권한을 획득할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

vCenter Server는 가상화 인프라의 중앙 제어 타워 역할을 수행하므로, 본 취약점이 노출될 경우 비즈니스에 치명적인 영향을 미칩니다. 공격자가 vCenter 관리자 권한을 획득하면 가상 머신(VM)의 무단 제어, 데이터 탈취, 가상 네트워크 구성 변경, 백업 삭제 등이 가능해집니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 적극적으로 악용된 이력이 확인되었으며, EPSS 점수가 0.90을 초과하여 매우 높은 위협 수준을 나타내고 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Under certain conditions, vmdir that ships with VMware vCenter Server, as part of an embedded or external Platform Services Controller (PSC), does not correctly implement access controls.

http://packetstormsecurity.com/files/157896/VMware-vCenter-Server-6.7-Authentication-Bypass.html

출처: security@vmware.com · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2020-0006

출처: security@vmware.com · Broken Link, Vendor Advisory

http://packetstormsecurity.com/files/157896/VMware-vCenter-Server-6.7-Authentication-Bypass.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2020-0006

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-3952

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2020-3952)

FAQ

Q1. CVE-2020-3952 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-3952의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 90.4%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-3952에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 vcenter_server입니다. 상세 영향 범위: VMware vCenter Server 6.7 (이전 버전에서 6.7로 업그레이드된 환경에서 vmdir이 배포된 경우에 한함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] vCenter Server 버전을 6.7 Update 3f 이상으로 즉시 업그레이드하고, vmdir 서비스에 대한 네트워크 접근을 제한하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동