CVE 데이터베이스CVE-2020-4006

최종 갱신 2026-06-17English Advisory →

CVE-2020-40069.1/CRITICALCISA KEV 등재CWE-78CWE-78

VMware Workspace ONE Access 및 Identity Manager 원격 명령 주입(Command Injection) 취약점 보안 권고 (CVE-2020-4006)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

workspace_one_access, workspace_one_access_connector, identity_manager, identity_manager_connector

권고문 발행일

2020-11-23

CVSS v3.1

9.1

CRITICAL

30일 악용확률

17.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware Workspace ONE Access, Access Connector, Identity Manager 및 Identity Manager Connector 특정 버전

파급 효과

관리자 권한을 획득한 공격수가 네트워크를 통해 대상 시스템의 운영체제(OS) 레벨에서 임의의 명령을 실행하고 시스템을 완전히 장악할 수 있습니다

권장 조치

제조사 공식 보안 패치(VMSA-2020-0027)를 즉시 적용하거나, 패치 적용 전까지 임시 완화 조치(Workaround) 스크립트를 실행하십시오

영향받는 제품 및 버전 범위

VMware Workspace ONE Access (5.2, 20.01, 20.10), Access Connector (20.01.0.0, 20.01.0.1, 20.10), Identity Manager (3.3.1, 3.3.2, 3.3.3), Identity Manager Connector (3.3.1, 3.3.2)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

VMware 공식 보안 권고(VMSA-2020-0027)에 따라 사용 중인 제품 버전에 맞는 핫픽스(Hotfix) 또는 최신 패치 버전을 다운로드하여 적용해야 합니다. 아래는 리눅스 기반 가상 어플라이언스에서 패치 파일을 다운로드하고 적용하는 예시 절차입니다.

bash

# 1. 임시 디렉토리 생성 및 패치 파일 다운로드 (VMSA-2020-0027 참조)
mkdir -p /tmp/patch && cd /tmp/patch
curl -O https://kb.vmware.com/s/article/81731/HW-patch-instructions.zip

# 2. 압축 해제 및 패치 스크립트 실행 권한 부여
unzip HW-patch-instructions.zip
chmod +x install.sh

# 3. 패치 스크립트 실행 (루트 권한 필요)
sudo ./install.sh

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, 취약한 구성 인터페이스(포트 8443)에 대한 외부 접근을 차단하고, VMware에서 제공하는 임시 완화 스크립트를 실행하여 명령 주입 경로를 차단해야 합니다.

bash

# 방화벽(iptables)을 사용하여 외부에서 8443 포트로의 접근을 차단하고 신뢰할 수 있는 관리자 IP만 허용
sudo iptables -A INPUT -p tcp -s 192.168.1.100 --dport 8443 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 8443 -j DROP

# 완화 조치 적용을 위해 관련 서비스 재시작
sudo service horizon-workspace restart

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내에서 비정상적인 명령 실행 흔적이나 구성 인터페이스 로그를 점검하여 침해 여부를 확인합니다.

bash

# 1. 구성 관리자 로그(configurator.log)에서 비정상적인 명령어 실행 흔적 및 셸 메타문자 검색
grep -Ei '(\.\./|;|\|\||&&|\`|\$)' /opt/vmware/horizon/workspace/logs/configurator.log

# 2. 현재 설치된 Workspace ONE Access / Identity Manager 버전 확인
cat /usr/local/horizon/conf/version.properties | grep -E '(product.version|build.number)'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 공격에 악용된 이력이 있는 KEV 등재 취약점이므로, VMSA-2020-0027 권고에 따라 즉시 공식 패치를 적용하거나 8443 포트 접근을 엄격히 제한하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-4006)은 VMware Workspace ONE Access 및 Identity Manager의 구성 관리 인터페이스에서 발생하는 OS 명령 주입(Command Injection) 취약점입니다. 시스템 내부에서 사용자 입력값을 적절히 검증하거나 필터링하지 않고 운영체제 셸 명령의 인자로 직접 전달하여 실행하는 과정에서 발생합니다 (CWE-78). 비록 공격을 수행하기 위해 포트 8443의 관리자 구성 인터페이스에 대한 유효한 자격 증명(Credentials)이 필요하지만, 취약한 입력값 검증 로직으로 인해 인증된 공격자가 최고 권한으로 임의의 시스템 명령을 실행할 수 있는 심각한 보안 결함입니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 대상 시스템의 관리 포트(기본 TCP 8443)에 접근하여 관리자 세션을 획득해야 합니다. 세션이 확립되면, 공격자는 구성 설정 API 또는 웹 UI의 특정 입력 폼에 악성 셸 메타문자(예: ';', '&&', '|')와 함께 실행하고자 하는 OS 명령어를 주입하여 요청을 전송합니다. 애플리케이션 서버는 이 입력값을 검증 없이 백엔드 시스템 명령어로 실행하게 되며, 결과적으로 공격자는 웹 애플리케이션 실행 권한(일반적으로 높은 수준의 권한)으로 대상 서버에서 임의의 코드를 실행하고 리버스 셸(Reverse Shell)을 확립하여 내부망 침투를 시도할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 미 국토안보부 사이버보안 및 인프라 보안국(CISA)의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 공격에 적극적으로 악용된 이력이 있는 고위험군 취약점입니다. 성공적으로 익스플로잇될 경우, 공격자는 기업의 핵심 인증 및 계정 관리 인프라(Identity Provider)를 완전히 장악할 수 있습니다. 이는 Active Directory 연동 정보 탈취, SSO(Single Sign-On) 토큰 위조, 내부망 내 타 시스템으로의 횡적 이동(Lateral Movement)으로 이어져 기업 전체 인프라의 붕괴를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

VMware Workspace One Access, Access Connector, Identity Manager, and Identity Manager Connector address have a command injection vulnerability.

https://www.vmware.com/security/advisories/VMSA-2020-0027.html

출처: security@vmware.com · Vendor Advisory

https://www.kb.cert.org/vuls/id/724367

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, US Government Resource

https://www.vmware.com/security/advisories/VMSA-2020-0027.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-4006

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2020-4006)

FAQ

Q1. CVE-2020-4006 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-4006의 기본 점수는 CVSS 9.1 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 17.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-4006에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 workspace_one_access, workspace_one_access_connector, identity_manager, identity_manager_connector입니다. 상세 영향 범위: VMware Workspace ONE Access (5.2, 20.01, 20.10), Access Connector (20.01.0.0, 20.01.0.1, 20.10), Identity Manager (3.3.1, 3.3.2, 3.3.3), Identity Manager Connector (3.3.1, 3.3.2)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 제조사 공식 보안 패치(VMSA-2020-0027)를 즉시 적용하거나, 패치 적용 전까지 임시 완화 조치(Workaround) 스크립트를 실행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동