CVE 데이터베이스CVE-2020-8260

최종 갱신 2026-06-17English Advisory →

CVE-2020-82607.2/HIGHCISA KEV 등재CWE-434CWE-434

Pulse Connect Secure 관리자 웹 인터페이스 임의 코드 실행 취약점 (CVE-2020-8260) 분석 및 대응 가이드

Q: CVE-2020-8260 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-8260의 기본 점수는 CVSS 7.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q: CVE-2020-8260에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 pulsesecure이며, 대상 컴포넌트는 pulse_connect_secure입니다. 상세 영향 범위: Pulse Connect Secure 9.1R9 미만 버전 전반 (관리자 웹 인터페이스 활성화 환경)

Q: 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Pulse Connect Secure 버전을 9.1R9 이상 최신 패치 버전으로 즉시 업그레이드하고 관리자 인터페이스의 외부 노출을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

pulsesecure

대상 컴포넌트 / 패키지

pulse_connect_secure

권고문 발행일

2020-10-28

CVSS v3.1

7.2

HIGH

30일 악용확률

96.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Pulse Connect Secure 9.1R9 미만 버전의 관리자 웹 인터페이스

파급 효과

인증된 관리자 권한의 공격수가 제어되지 않은 gzip 압축 해제 메커니즘을 악용하여 시스템 권한으로 임의 코드를 실행할 수 있습니다

권장 조치

Pulse Connect Secure 버전을 9.1R9 이상 최신 패치 버전으로 즉시 업그레이드하고 관리자 인터페이스의 외부 노출을 차단하십시오

영향받는 제품 및 버전 범위

Pulse Connect Secure 9.1R9 미만 버전 전반 (관리자 웹 인터페이스 활성화 환경)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Pulse Secure 공식 권고에 따라 시스템을 9.1R9 이상 버전으로 업그레이드해야 합니다. 클러스터 환경인 경우 활성 노드부터 순차적으로 진행합니다. 아래 예시는 관리자 CLI 환경에서 시스템 버전을 확인하고 패치를 준비하는 절차입니다.

bash

# 1. 현재 실행 중인 Pulse Connect Secure 버전 확인
show version

# 2. 활성 세션 및 클러스터 상태 점검 (업그레이드 전 필수)
show cluster status
show active-users

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 관리자 웹 인터페이스(Admin Console)가 공인 인터넷에 직접 노출되지 않도록 방화벽 및 ACL 설정을 강화해야 합니다. 외부 IP로부터의 관리자 포트(기본 8443 등) 접근을 원천 차단하고 내부 관리용 서브넷 또는 지정된 점프 호스트(Jump Host)를 통해서만 접근을 허용하십시오.

nginx

# Nginx 리버스 프록시 또는 방화벽 장비에서 관리자 경로 접근 제한 예시
server {
    listen 443 ssl;
    server_name vpn.company.local;

    # 일반 사용자 로그인 페이지 허용
    location /dana-na/ {
        proxy_pass https://vpn_backend;
    }

    # 관리자 콘솔 경로에 대한 외부 접근 차단 및 특정 IP만 허용
    location /dana-admin/ {
        allow 10.10.50.0/24; # 신뢰할 수 있는 관리자 대역
        deny all;
        proxy_pass https://vpn_backend;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

관리자 로그에서 비정상적인 파일 업로드 시도나 gzip 압축 해제 관련 오류, 혹은 알 수 없는 관리자 세션의 활동 기록을 점검해야 합니다. 아래 스크립트는 로그 서버로 전송된 Syslog 데이터에서 의심스러운 키워드를 탐지하는 예시입니다.

bash

# Syslog 아카이브에서 관리자 콘솔(/dana-admin) 관련 비정상 업로드 및 gzip 처리 로그 검색
grep -Ei 'dana-admin|upload|extract|gzip' /var/log/pcs-vpn-audit.log

# 최근 생성되거나 변경된 웹 루트 디렉터리 내의 의심스러운 파일 탐색 (장비 쉘 접근 권한 보유 시)
find /home/webserver/htdocs -mtime -30 -type f -name '*.cgi' -o -name '*.pl' -o -name '*.php'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

CISA KEV 등재 취약점으로 실제 공격에 악용된 바 있으므로, Pulse Connect Secure 장비를 즉시 9.1R9 이상 버전으로 업그레이드하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-8260)은 Pulse Connect Secure(PCS) SSL VPN 장비의 관리자 웹 인터페이스에서 발생하는 임의 코드 실행(RCE) 취약점입니다. 발생 원인은 관리자 콘솔을 통해 업로드되는 아카이브 파일(gzip)을 압축 해제하는 과정에서, 파일 경로 및 콘텐츠에 대한 적절한 검증 및 제한이 결여되어 발생하는 '제어되지 않은 파일 압축 해제(Uncontrolled Archive Extraction)' 및 위험한 파일 업로드(CWE-434) 설계 결함에 기인합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 Pulse Connect Secure 관리자 포털에 대한 유효한 인증 세션을 획득해야 합니다. 인증을 획득한 공격자는 관리자 기능 중 구성 백업, 테마 업로드 또는 업데이트 등 gzip 압축 파일을 처리하는 엔드포인트를 표적으로 삼습니다. 공격자는 특수하게 조작된 gzip 아카이브 내부에 악성 스크립트나 실행 파일을 포함하고, 압축 해제 시 웹 루트 디렉터리 또는 시스템 실행 경로에 파일이 덮어써지도록 유도합니다. 이 과정에서 시스템은 압축 파일 내의 경로를 검증하지 않고 압축을 해제하므로, 공격자가 의도한 위치에 악성 코드가 배치되어 최종적으로 시스템 권한으로 임의 명령어가 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

Pulse Connect Secure는 기업 네트워크의 관문 역할을 수행하는 핵심 SSL VPN 솔루션입니다. 비록 공격을 위해 관리자 권한 인증이 필요하지만, 자격 증명 도용이나 세션 하이재킹을 통해 권한을 획득한 공격자가 이 취약점을 악용할 경우 VPN 장비의 완전한 제어권을 장악하게 됩니다. 이는 내부 사설 네트워크로의 횡적 이동(Lateral Movement), 기밀 데이터 유출, VPN 연결 세션 모니터링 및 가로채기 등 기업 인프라 전체를 위협하는 심각한 비즈니스 중단 사태로 이어질 수 있습니다. 본 취약점은 실제 공격에 악용된 이력이 존재하여 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으므로 신속한 조치가 필수적입니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A vulnerability in the Pulse Connect Secure < 9.1R9 admin web interface could allow an authenticated attacker to perform an arbitrary code execution using uncontrolled gzip extraction.

http://packetstormsecurity.com/files/160619/Pulse-Secure-VPN-Remote-Code-Execution.html

출처: support@hackerone.com · Exploit, Third Party Advisory, VDB Entry

https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44601

출처: support@hackerone.com · Broken Link, Vendor Advisory

http://packetstormsecurity.com/files/160619/Pulse-Secure-VPN-Remote-Code-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44601

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-8260

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2020-8260)

FAQ

Q1. CVE-2020-8260 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-8260의 기본 점수는 CVSS 7.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-8260에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 pulsesecure이며, 대상 컴포넌트는 pulse_connect_secure입니다. 상세 영향 범위: Pulse Connect Secure 9.1R9 미만 버전 전반 (관리자 웹 인터페이스 활성화 환경)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Pulse Connect Secure 버전을 9.1R9 이상 최신 패치 버전으로 즉시 업그레이드하고 관리자 인터페이스의 외부 노출을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동