Pulse Connect Secure 관리자 웹 인터페이스 템플릿 업로드 원격 코드 실행(RCE) 취약점 (CVE-2020-8243) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTPulse Connect Secure (PCS) 9.1R8.2 미만 버전의 관리자 웹 인터페이스
인증된 관리자 권한의 공격자가 악성 커스텀 템플릿을 업로드하여 VPN 게이트웨이 장비 내에서 임의의 시스템 명령어를 실행하고 장비를 완전히 장악할 수 있음
Pulse Connect Secure 버전을 9.1R8.2 이상 최신 릴리스로 즉시 업업그레이드하고 관리자 페이지에 대한 외부 접근을 차단하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Ivanti(구 Pulse Secure)의 공식 권고에 따라 장비를 9.1R8.2 이상 버전으로 업그레이드해야 합니다. 클러스터 환경인 경우 액티브-스탠바이 순서로 진행하십시오.
# 1. 현재 실행 중인 Pulse Connect Secure 버전을 CLI에서 확인합니다.
show system info
# 2. 관리자 웹 콘솔(Maintenance -> System -> Upgrade)을 통해 공식 패치 이미지(9.1R8.2 이상)를 업로드하여 설치를 진행하십시오.
# (CLI를 통한 수동 업그레이드 검증 예시)
fetch tftp://[Internal_TFTP_Server]/pcs-9.1R8.2-package.bin
installer install pcs-9.1R8.2-package.bin2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 외부 인터넷에서 관리자 포털('/admin')로 직접 접속하는 경로를 원천 차단하고 내부 관리용 대역(OOB)에서만 접속할 수 있도록 ACL을 재설정해야 합니다.
# Nginx 또는 리버스 프록시를 VPN 장비 전면에 배치한 경우 관리자 경로 접근 제한 설정 예시
server {
listen 443 ssl;
server_name vpn.company.com;
# 일반 사용자 포털은 허용
location / {
proxy_pass https://pcs_backend;
}
# 관리자 콘솔(/admin)은 특정 내부 IP 대역(예: 10.50.10.0/24)에서만 허용
location /admin {
allow 10.50.10.0/24;
deny all;
proxy_pass https://pcs_backend;
}
}3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
관리자 로그에서 템플릿 업로드 관련 비정상적인 요청이나 시스템 명령어 실행 흔적을 탐지하기 위한 점검 명령어 예시입니다.
# 1. VPN 장비에서 내보낸 Syslog 또는 웹 서버 액세스 로그에서 템플릿 업로드 관련 키워드 검사
grep -Ei '(/admin/tmp|/customization/|upload.*\.zip|upload.*\.tar)' /var/log/pcs_access.log
# 2. 최근 변경되거나 생성된 템플릿 디렉터리 내의 파일 목록 및 무결성 검사
find /home/webserver/htdocs/dana-na/customization/ -type f -mtime -30 -exec ls -la {} \;반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2020-8243)은 Pulse Connect Secure(PCS) SSL-VPN 장비의 관리자 웹 인터페이스(Admin Web Interface)에서 발생하는 코드 주입(CWE-94) 취약점입니다. 관리자 콘솔 내의 사용자 정의 템플릿(Custom Template) 업로드 기능에서 입력값 검증 및 샌드박싱 처리가 미흡하여 발생합니다. 공격자가 조작된 템플릿 파일을 업로드할 경우, 서버 측 템플릿 엔진이 이를 렌더링하는 과정에서 템플릿 내에 삽입된 악성 코드가 필터링 없이 실행됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 먼저 관리자 권한(또는 탈취된 관리자 세션)을 확보해야 합니다. 관리자 콘솔에 로그인한 공격자는 웹 포털의 레이아웃이나 로그인 페이지를 커스터마이징하는 '템플릿 업로드' 메뉴로 이동합니다. 이후 템플릿 파일 내부에 서버 측 스크립트 실행이 가능한 페이로드(예: CGI/Perl 또는 시스템 명령어를 호출하는 템플릿 구문)를 삽입하여 업로드합니다. 장비가 해당 템플릿을 파싱하고 활성화하는 순간, 공격자가 주입한 코드가 웹 서버 프로세스 권한(일반적으로 높은 권한)으로 실행되어 리버스 쉘을 획득하거나 내부망 침투의 교두보를 마련하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
Pulse Connect Secure는 기업망과 외부를 연결하는 핵심 경계선(Perimeter) 보안 장비입니다. 본 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 위협 그룹에 의해 활발히 악용된 이력이 있으며, EPSS 점수가 0.90을 초과하여 공격 성공 가능성이 매우 높습니다. 장비가 장악당할 경우 VPN을 경유하는 모든 사내 트래픽과 사용자 인증 정보(Active Directory 연동 계정 등)가 탈취될 수 있으며, 이는 랜섬웨어 유포 및 전사적 내부망 침투로 이어지는 치명적인 비즈니스 중단을 초래합니다.
공식 보안 권고문 및 참조 링크
A vulnerability in the Pulse Connect Secure < 9.1R8.2 admin web interface could allow an authenticated attacker to upload custom template to perform an arbitrary code execution.
자주 묻는 실무 질문 (FAQ — CVE-2020-8243)
FAQQ1. CVE-2020-8243 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2020-8243의 기본 점수는 CVSS 7.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 90.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2020-8243에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 pulsesecure, ivanti이며, 대상 컴포넌트는 pulse_connect_secure입니다. 상세 영향 범위: Pulse Connect Secure (PCS) 9.1R8.2 미만 버전 전체 (관리자 웹 인터페이스 활성화 환경)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Pulse Connect Secure 버전을 9.1R8.2 이상 최신 릴리스로 즉시 업업그레이드하고 관리자 페이지에 대한 외부 접근을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2020-8243 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (pulsesecure)
동일 카테고리 전체 보기 →Ivanti Sentry OS 명령 주입 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-10520)
[영향 대상] Ivanti Sentry R10.5.2, R10.6.2, R10.7.1 미만 버전
Ivanti Connect Secure (ICS) 인증 우회 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-104935)
[영향 대상] Ivanti Connect Secure (ICS) 25.1.3.0 미만 버전 (단, 22.7R2.14 이하 구형 버전은 제외)
Ivanti EPMM (Endpoint Manager Mobile) 입력값 검증 미흡으로 인한 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-6973)
[영향 대상] Ivanti EPMM 12.6.1.1, 12.7.0.1, 12.8.0.1 미만 버전
Ivanti Connect Secure 로컬 권한 상승 취약점 (CVE-2026-111357) 보안 권고
[영향 대상] Ivanti Connect Secure 22.8R2.4 및 이전 버전
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.