CVE 데이터베이스CVE-2020-3992

최종 갱신 2026-08-12English Advisory →

CVE-2020-39929.8/CRITICALCISA KEV 등재CWE-416CWE-416

VMware ESXi OpenSLP Use-After-Free 원격 코드 실행 취약점 (CVE-2020-3992) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

esxi

권고문 발행일

2020-10-20

CVSS v3.1

9.8

CRITICAL

30일 악용확률

83.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware ESXi 7.0 (ESXi_7.0.1-0.0.16850804 미만), 6.7 (ESXi670-202010401-SG 미만), 6.5 (ESXi650-202010401-SG 미만) 버전

파급 효과

관리 네트워크에 접근 가능한 공격자가 SLP 서비스(포트 427)를 통해 Use-After-Free 취약점을 악용하여 대상 하이퍼바이저에서 원격 코드 실행(RCE) 권한을 획득할 수 있습니다

권장 조치

공식 보안 패치를 즉시 적용하거나, 패치가 불가능한 경우 ESXi 호스트에서 OpenSLP 서비스를 비활성화하고 방화벽 규칙을 적용하십시오

영향받는 제품 및 버전 범위

VMware ESXi 7.0 (ESXi_7.0.1-0.0.16850804 미만), ESXi 6.7 (ESXi670-202010401-SG 미만), ESXi 6.5 (ESXi650-202010401-SG 미만)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

VMware 공식 권고에 따라 영향받는 ESXi 호스트를 최신 패치 버전으로 업그레이드하십시오. ESXi CLI를 통해 온라인으로 직접 패치를 적용하는 방법은 다음과 같습니다.

bash

# ESXi 호스트를 유지보수 모드로 전환
esxcli system maintenanceMode set --enable true

# 방화벽 규칙에서 HTTP 아웃바운드 허용
esxcli network firewall ruleset set -e true -r httpClient

# ESXi 6.7 버전을 최신 보안 패치 버전으로 프로파일 업데이트 (예시)
esxcli software profile update -p ESXi-6.7.0-20201004001-standard -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml

# 호스트 재부팅 및 유지보수 모드 해제
reboot
esxcli system maintenanceMode set --enable false

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, OpenSLP 서비스를 중지하고 비활성화하여 공격 표면을 완전히 제거해야 합니다.

bash

# OpenSLP 서비스 중지
/etc/init.d/slpd stop

# OpenSLP 서비스 시작 유형을 'disabled'로 변경하여 재부팅 후에도 실행 방지
esxcli system service set -s slpd -e false

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

ESXi 호스트에서 OpenSLP 서비스의 실행 상태 및 포트 활성화 여부를 점검하는 스크립트입니다.

bash

# slpd 서비스 상태 확인 (running인 경우 취약)
/etc/init.d/slpd status

# 427번 포트(SLP)가 리스닝 상태인지 네트워크 소켓 확인
localcli network ip connection list | grep 427

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

CISA KEV 등재 및 실제 악용 사례가 보고된 고위험 취약점이므로, 즉시 ESXi 패치를 적용하거나 OpenSLP 서비스를 비활성화하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-3992)은 VMware ESXi 하이퍼바이저에서 서비스 위치 프로토콜(SLP, Service Location Protocol)을 구현하는 OpenSLP 구성 요소 내에 존재하는 Use-After-Free(UAF) 메모리 손상 취약점입니다. OpenSLP 서비스가 네트워크 패킷을 처리하는 과정에서 이미 해제된 메모리 포인터를 적절히 검증하지 않고 재참조(CWE-416)하면서 발생합니다. 이로 인해 공격자는 메모리 레이아웃을 조작하고 임의의 코드를 실행할 수 있는 상태를 유도할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 ESXi 관리 네트워크에 접근할 수 있는 권한을 가진 상태에서, OpenSLP 서비스가 수신 대기하는 TCP/UDP 427번 포트로 특수하게 조작된 SLP 메시지를 전송합니다. 이 메시지는 OpenSLP 내부의 특정 객체를 메모리에서 해제하도록 유도한 뒤, 동일한 메모리 주소 영역에 공격자가 제어하는 페이로드를 재배치합니다. 이후 해제된 포인터가 다시 호출되는 시점에 공격자의 페이로드가 실행되어, 인증 없이도 하이퍼바이저 수준에서 원격 코드가 실행(RCE)되는 결과를 초래합니다.

3. 비즈니스 및 인프라 파급 영향

VMware ESXi는 가상화 인프라의 핵심 하이퍼바이저이므로, 본 취약점이 악용될 경우 단일 가상머신(VM)을 넘어 물리 서버 전체 및 해당 서버에서 구동 중인 모든 VM의 제어권이 탈취될 수 있습니다. 이는 기업의 핵심 데이터 유출, 랜섬웨어 감염, 서비스 전면 중단 등 치명적인 비즈니스 중단 사태로 이어질 수 있습니다. 특히 본 취약점은 실제 공격에 악용된 이력이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었으며, EPSS 점수가 0.83을 상회할 정도로 위협 수준이 매우 높습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

OpenSLP as used in VMware ESXi (7.0 before ESXi_7.0.1-0.0.16850804, 6.7 before ESXi670-202010401-SG, 6.5 before ESXi650-202010401-SG) has a use-after-free issue. A malicious actor residing in the management network who has access to port 427 on an ESXi machine may be able to trigger a use-after-free in the OpenSLP service resulting in remote code execution.

https://www.vmware.com/security/advisories/VMSA-2020-0023.html

출처: security@vmware.com · Patch, Vendor Advisory

https://www.zerodayinitiative.com/advisories/ZDI-20-1377/

출처: security@vmware.com · Third Party Advisory, VDB Entry

https://www.zerodayinitiative.com/advisories/ZDI-20-1385/

출처: security@vmware.com · Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2020-0023.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.zerodayinitiative.com/advisories/ZDI-20-1377/

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

https://www.zerodayinitiative.com/advisories/ZDI-20-1385/

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2020-3992)

FAQ

Q1. CVE-2020-3992 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-3992의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 83.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-3992에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 esxi입니다. 상세 영향 범위: VMware ESXi 7.0 (ESXi_7.0.1-0.0.16850804 미만), ESXi 6.7 (ESXi670-202010401-SG 미만), ESXi 6.5 (ESXi650-202010401-SG 미만)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 공식 보안 패치를 즉시 적용하거나, 패치가 불가능한 경우 ESXi 호스트에서 OpenSLP 서비스를 비활성화하고 방화벽 규칙을 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동